如何在MS Fabric的Web v2活动中通过服务主体读取密钥保管库机密

以下是针对你遇到的「Failed to login with OAuth token」报错的具体排查步骤：

1. 核对服务主体核心配置参数 #

• 确认Web v2活动中填写的租户ID、应用程序ID、客户端密钥完全正确：客户端密钥不能有多余空格，且需是Azure AD中生成的有效密钥（未过期、未被吊销）。
• 若使用证书而非密钥，需确保证书配置与服务主体绑定正确，但你用的是凭据类型，优先排查密钥有效性。

2. 修正OAuth资源URL配置 #

访问Key Vault REST API必须指定正确的资源范围：

• 在Web v2活动的身份验证设置中，资源URL必须填写 https://vault.azure.net，不能使用Microsoft Graph或Azure AD Graph的端点，否则获取的令牌无法访问Key Vault。

3. 确认Key Vault访问策略的正确性 #

• 确保服务主体的访问策略是直接分配（而非通过组，组权限可能存在同步延迟），且策略中勾选了应用程序类型（服务主体属于应用身份，不是用户身份）。
• 再次确认策略中已授予机密的GET和List权限，且该策略已保存生效（Key Vault策略保存后通常立即生效，但偶尔会有几秒延迟）。

4. 检查请求方法与URL格式 #

• Web v2活动默认请求方法是POST，访问Key Vault机密需改为GET方法。
• 测试时可先移除URL中的版本号{secret-version}，使用{vaultBaseUrl}/secrets/{secret-name}访问最新版本机密，排除版本号输入错误的问题。

5. 排查网络访问限制 #

• 若Key Vault启用了防火墙或虚拟网络规则，需确认Fabric的出站IP地址已被加入允许列表。可临时关闭防火墙（仅测试用），若能成功访问，说明是网络规则限制，需添加Fabric对应的IP段。

6. 清理无关权限并检查冲突 #

• 订阅级的Reader权限对Key Vault机密访问无直接作用，Key Vault的访问由自身访问策略控制，可忽略该权限。
• 检查是否存在Azure RBAC的拒绝分配（如订阅/资源组级别的拒绝策略），这类策略会覆盖允许权限，导致访问失败。

内容的提问来源于stack exchange，提问作者JFlo