Azure App Service未使用用户分配托管身份访问Key Vault求助

核心问题定位 #

DefaultAzureCredential的认证优先级中，EnvironmentCredential（读取环境变量）排在ManagedIdentityCredential之前，所以只要你的App Service存在AZURE_CLIENT_ID和AZURE_CLIENT_SECRET环境变量，就会优先使用应用注册身份，而非已配置的用户分配托管身份。

针对性解决方法 #

1. 代码层面强制指定使用用户分配托管身份
   不要依赖DefaultAzureCredential的自动优先级，直接通过ManagedIdentityCredential指定托管身份的Client ID来创建SecretClient，彻底规避环境变量的影响：

   // 替换为你的用户分配托管身份的Client ID
   var managedIdentityClientId = "uamid-api-test对应的Client ID";
   var credential = new ManagedIdentityCredential(managedIdentityClientId);
   var secretClient = new SecretClient(new Uri("你的Key Vault URI"), credential);
   

   或者保留DefaultAzureCredential，但排除环境变量认证并指定托管身份：

   var credential = new DefaultAzureCredential(new DefaultAzureCredentialOptions
   {
       ExcludeEnvironmentCredential = true,
       ManagedIdentityClientId = "uamid-api-test对应的Client ID"
   });
   var secretClient = new SecretClient(new Uri("你的Key Vault URI"), credential);
   

2. 验证托管身份绑定与IAM权限

   • 确认App Service的「身份」->「用户分配」标签下，uamid-api-test状态为「已分配」；
   • 检查Key Vault的IAM权限：确保是给**用户分配托管身份（uamid-api-test）**而非应用注册添加了「Key Vault Secrets User」角色，权限范围覆盖整个Key Vault，且等待5-10分钟让IAM权限生效；
   • 禁用App Service的系统分配身份（如果未使用），避免认证时出现冲突。

3. 环境变量兼容性处理
   如果应用启动必须依赖AZURE_CLIENT_ID和AZURE_CLIENT_SECRET，需确认这些变量是用于应用自身业务逻辑而非Azure服务认证。上述代码指定托管身份后，不会读取这些环境变量用于Key Vault认证，可保留变量不影响应用启动。

额外排查点 #

• 对比正常运行的同配置App Service，检查是否存在隐藏配置差异：比如应用设置中的WEBSITE_LOAD_CERTIFICATES或其他与身份认证相关的特殊配置；
• 查看App Service的诊断日志，确认托管身份是否能正常获取令牌（可通过Kudu站点的Tools->Diagnose and solve problems->Identity and Access工具排查）。

内容的提问来源于stack exchange，提问作者realmikep