Comento un poco de como era antes y como puedes realizarlo ahora son secrets, quitarlo del server con Azure KeyVault o incluso seguir utilizando las variables de entornos. Si bien no es encriptar nuestras configuraciones es la forma que tenemos de resguardarlas en el server de produccion o inluso quitarlas de alli y transmitirlas/compartirlas de manera segura
¿Cómo era antes...? encriptar secciones de web.config
Para resguardar configuraciones en ASP.NET con web.config realizábamos la encriptación de secciones (o incluso los mas kamikazes utilizaban la jerarquía de archivos de configuración que venia con .NET Frameworks). Pero bueno lo recomendado en entornos PROD (Producción) era encriptar las secciones (Y ni hablar la configuración que había que hacer cuando teníamos un cluster de servidores web de producción donde había que compartir la misma key machine para que DPAPI pueda encriptar/desencriptar).
Aquí también teníamos las transformaciones de ese tipo de archivo que luego no lo queríamos ni bien que son los .xml (nos ayudaban e incluso hoy nos ayudan estas transformaciones para proyectos con esta tecnología)
Ahora... NET 5 / Core secrets & variables de entornos...
En nuestros nuevos proyectos NET5 (o anteriores NET Core) tenemos los archivos de configuración que son archivos json (y los merge de json son muy buenos y faciles de entender y manipular), nuestros queridos appSettings.*.json.
Es muy fácil utilizarlos. Y se lleva muy bien con el versionado de código. Pero allí es el primer problema de no tener dentro de nuestros repositorios de código, credenciales o "datos sensibles". Para eso en modo de desarrollo tenemos los "secrets", que básicamente es una extensión/modulo de NET que nos ayuda a "mantener separado" configuraciones sensibles. Que se integra a nuestro IDE (o también se lo puede generar/configurar/administrar por linea de comandos)
Alli en el enlace anterior puedes verlo y es recomendable que utilices esto en modo desarrollo. Lo habilitas con un simple click en VS2019 o por linea de comando. Y se guarda el archivo de configuracion en un ubicación "especial" para el usuario (los secretos por usuario)
¿Y en PROD?
Lo que comente mas arriba verás que también se puede realizar en PROD (o sea tener un secreto por el usuario que ejecuta la aplicación).
Un ejemplo general y sencillo es aplicaciones on-premise que se ejecutan en el IIS se ejecutan con el usuario del App Pool (todas los app pool en el IIS tienen un usuario que se genera en cada servidor como APP POOL{nombre del apppool}, o puedes modificar el usuario con que se ejecuta cambiando la propiedad AppPoolIdentity en el App Pool (asi es un usuario especifico de la aplicacion o que te asignaron el area de Operaciones/Infraestructura).Casi siempre lo tenia asi proyectos que recuerde (no utiice con el usuario que se genera el IIS sino uno creado en el Active Directory para la app, por los permisos que se requiere). Pero si este es tu ambiente avisanos y profundizamos.
Entonces... es igual que el entorno DEV pero en PROD
Allí podrás definir variables de secret por linea de comandos (asi no estas con archivos json)
dotnet user-secrets set "ConnectionStrings:ClinicDatabase" "ejemplo de valor"
O podrías ir al archivo especifico que en windows es %APPDATA%\Microsoft\UserSecrets<user_secrets_id>\secrets.json > Mas info Como funciona el administrador de secretos
En IIS hay un issue de donde lee que lo puedes ver aqui, pero es en
C:\WINDOWS\system32\config\systemprofile\AppData\Roaming
y allí deberías colocar la carpeta del secret (el ID que genera con el archivo secret.json dentro) y darle el permiso que tu app lo pueda leer (el usuario del APP POOL). Si este es tu escenario avisanos y profundizamos
¿No esta encriptado? No. Pero puedes utilizar Azure Key-vault
Y como veras en entorno DEV, este archivo no esta encriptado (pero no esta dentro del repositorio, ni en los archivos de deploy de tu app/api/etc.) y esta resguarda en un lugar seguro solo accesible para administradores o personas con el permiso adecuado.
Pero si aun quieres encriptar, puedes probar utilizar Azure KeyVault, que es resguardar externamente TODO (y literalmente es todo, credenciales, certificados etc). Pero allí tendrías que tener una cuenta en Azure (es mínimo los precios) pero es una alternativa valida para sacar "de PROD" (e incluso de las maquinas de DEV) todos los datos sensibles.
Lo bueno, que se integra a variables de ENTORNOS (Enviroment Variables)
Esto que comente mas arriba de secrets y appSettings se integra a variables de entornos (eso que ya conocemos en IIS y entornos windows) o sea "SE INTEGRA", se puede utilizar tambien para sobreescribir. Agregando esto "AddEnvironmentVariables" al realizar el build de nuestra configuracion de la app
Ejemplo
var builder = new ConfigurationBuilder()
.SetBasePath(env.ContentRootPath)
.AddJsonFile("appsettings.json", optional: true, reloadOnChange: true)
.AddJsonFile($"appsettings.{env.EnvironmentName}.json", optional: true)
.AddEnvironmentVariables();
Configuration = builder.Build();
Y alli podremos sobre escribir cualquier configuración
Encontre un post relacionado (del 2016) pero valido
y de ultima! Un proveedor de configuracion "personalizado"
Pero esta parte ya es muy interna, pero se podría construir uno que si encripte/descripte. Y alli tendriamos que evaluar la estrategia para armarlo. Solo lo comento que se puede extender (como todo en .NET). Por ejemplo:
Espero que te sirva de ayuda o guía.