在BtoB应用程序中，我希望在Azure Blob存储中透明地加密数据。
但是，我们不能在keyvault中存储密钥：我们将生成一个对称密钥，并使用它来加密blob存储中的数据。然后，将使用客户的公钥对该对称密钥进行加密，并将其存储在某处。如果需要解密，客户将使用其私钥解密对称密钥。
我们发现的所有示例都使用keyvault来存储密钥。最相关的示例是https://learn.microsoft.com/en-us/azure/storage/blobs/client-side-encryption?tabs=dotnet#blob-service-encryption。
这位医生说：您的密钥和密钥解析程序示例，通过Azure Key Vault SDK或外部实现。但是没有文档解释如何进行“外部实现”，我尝试了以下代码来生成KeyEncryptionKey：

var symmetricSecurityKey = new SymmetricSecurityKey(_context.EncryptionKey);
 var jsonWebKey = JsonWebKeyConverter.ConvertFromSymmetricSecurityKey(symmetricSecurityKey);
 jsonWebKey.AdditionalData["iv"] = Convert.ToBase64String(_context.IV);               
 string jsonSerializedKey = JsonSerializer.Serialize(jsonWebKey);
 Azure.Security.KeyVault.Keys.JsonWebKey keyvaultKey = (Azure.Security.KeyVault.Keys.JsonWebKey)JsonSerializer.Deserialize<Azure.Security.KeyVault.Keys.JsonWebKey>(jsonSerializedKey);
 keyvaultKey.KeyType = KeyType.Rsa;
 var cryptoClient = new CryptographyClient(keyvaultKey);
 var keyResolver = new KeyResolver(new DefaultAzureCredential());
 

 // We want the key to be passed from 
 ClientSideEncryptionOptions encryptionOptions = new ClientSideEncryptionOptions(ClientSideEncryptionVersion.V2_0)
 {
    KeyEncryptionKey = cryptoClient,
    KeyResolver = keyResolver,
    // String value that the client library will use when calling IKeyEncryptionKey.WrapKey()
    KeyWrapAlgorithm = "RSA-OAEP"
   };

它会编译，但在执行时，对_rootContainer.UploadBlobAsync（fullPath，stream）的调用会引发以下错误：给定的键不支持操作WrapKey
显然，它试图加密或解密对称密钥。如果我不指定KeyWrapAlgorithm，它会返回：值不能为空。（参数'KeyWrapAlgorithm）