问扩展IdentityServer4服务

EN

我跟踪了IdentityServer4快速启动，并能够使用隐式授予的本地托管IdentityServer实例验证我的javascript网页(几乎与快速启动中提供的页面相同)。同样，我的IdentityServer与上面提到的快速启动中提供的几乎完全相同--它只是有一些定制的用户详细信息。

然后，我将我的应用程序(C# .NET Core)移动到一个对接器容器中，并在Kubernetes集群(单个实例)中承载了该应用程序的一个实例，并创建了一个Kubernetes服务(在一个或多个“真实”服务上的外观)，该服务允许我从集群外部访问身份服务器。我可以修改我的JavaScript网页，并将它指向我的Kubernetes服务，它仍然会很高兴地显示登录页面，而且它似乎像预期的那样工作。

然后，当我将IdentityServer扩展到三个实例(都是在单个Kubernetes服务之后提供的)时，我开始遇到问题。Kubernetes服务向每个身份服务器请求循环，因此第一个将显示登录页面，而第二个将尝试在我按下登录按钮后处理身份验证。这将导致以下错误：

System.InvalidOperationException:防伪令牌无法解密。--> System.Security.Cryptography.CryptographicException:键环中没有找到密钥{19742e88-9dc6-44a0-9e89-e7b09db83329}。. trace =‘trace 1’>( Microsoft.AspNetCore.DataProtection.KeyManagement.KeyRingBasedDataProtector.UnprotectCore(Byte[] protectedData，UnprotectStatus& status& status)在Microsoft.AspNetCore.DataProtection.KeyManagement.KeyRingBasedDataProtector.DangerousUnprotect(Byte[] protectedData，布尔ignoreRevocationErrors，布尔& requiresMigration，布尔&wasRevoked(在Microsoft.AspNetCore.DataProtection.KeyManagement.KeyRingBasedDataProtector.Unprotect(Byte[] protectedData)在Microsoft.AspNetCore.Antiforgery.Internal.DefaultAntiforgeryTokenSerializer.Deserialize(String serializedToken) -内部异常堆栈跟踪的结束-.还有更多.

所以-我明白我会收到这个错误，因为我的期望是同一个IdentityServer应该服务于它所显示的页面请求(否则防伪令牌会如何工作，对吧？)，但是我想了解的是我如何在一个复制的环境中实现这个功能。

我不想在不同的IP/端口上托管多个身份服务器；我试图构建一个HA配置，如果其中一个IdentityServer死了，调用端点的任何东西都不会在意(因为请求应该由其他工作实例提供服务)。

我说过我使用的是快速启动代码--这意味着在启动IdentityServer时，有如下代码.

    public void ConfigureServices(IServiceCollection services)  
    {
        services.AddMvc();

        services.AddIdentityServer(options =>
            {
                options.Events.RaiseSuccessEvents = true;
                options.Events.RaiseFailureEvents = true;
                options.Events.RaiseErrorEvents = true;
            })
            .AddTemporarySigningCredential()
            .AddInMemoryIdentityResources(Config.GetIdentityResources())
            .AddInMemoryApiResources(Config.GetApiResources())
            .AddInMemoryClients(Config.GetClients())

我假设我需要用一个证书来替换.AddTemporarySigningCredential()逻辑，这个证书可以被运行在我的Kubernetes集群中的IdentityServer的所有实例使用。不知道MVC到底是如何工作的(MVC6用于生成IdentityServer服务中的登录页面，这是我从上面的代码链接中获得的)--我想知道仅仅更改代码以使用在所有服务之间共享的适当证书是否就足以使原型HA IdentityServer集群正常工作？

通过工作，我的期望是我可以在一个Kubernetes集群中运行n个IdentityServer实例，有一个Kubernetes服务作为一个外观，不管我运行了多少IdentityServer，并且能够使用多个IdentityServer实例进行身份验证，这些实例都可以为我的调用web应用程序提供完全相同的权限，并且可以在一个或多个实例死亡的情况下处理彼此的请求。

任何帮助或洞察力都将不胜感激。