使用托管身份从Web应用连接存储账户队列失败排查

你的代码核心问题是生产环境分支中创建了带凭据的QueueClient，但没有将这个实例传递给MessageQueueService，反而只传了队列URI。这导致MessageQueueService内部可能以无认证方式访问存储队列，从而触发NoAuthenticationInformation错误。

具体修复步骤 #

1. 调整MessageQueueService的构造函数 #

修改你的MessageQueueService，添加一个接收QueueClient参数的构造函数，直接复用已配置好凭据的客户端实例：

public class MessageQueueService
{
    private readonly QueueClient _queueClient;

    // 保留原有的连接字符串构造函数（用于开发环境）
    public MessageQueueService(string connectionString, string queueName)
    {
        _queueClient = new QueueClient(connectionString, queueName);
    }

    // 添加新构造函数，直接接收配置好的QueueClient
    public MessageQueueService(QueueClient queueClient)
    {
        _queueClient = queueClient ?? throw new ArgumentNullException(nameof(queueClient));
    }

    // 其他业务方法...
}

2. 修改Program.cs中的依赖注入代码 #

在生产环境分支，将创建好的QueueClient实例传给MessageQueueService：

builder.Services.AddScoped<MessageQueueService>(provider =>
{
    string queueName = builder.Configuration["IAQueue:QueueName"]
                       ?? throw new InvalidOperationException("Queue name for IAQueue is not configured.");
    string accountName = builder.Configuration["IAQueue:AccountName"]
                            ?? throw new InvalidOperationException("Account name for IAQueue is not configured.");
    if (builder.Environment.IsDevelopment())
    {
        string accountKey = builder.Configuration["IAQueue:AccountKey"]
                            ?? throw new InvalidOperationException("Account key for IAQueue is not configured.");
        string connectionString = $"DefaultEndpointsProtocol=https;AccountName={accountName};AccountKey={accountKey};EndpointSuffix=core.windows.net";
        return new MessageQueueService(connectionString, queueName);
    }
    else
    {
        var queueUri = new Uri($"https://{accountName}.queue.core.windows.net/{queueName}");
        QueueClient queueClient = new QueueClient(queueUri, new DefaultAzureCredential());
        // 改为传递配置好凭据的QueueClient实例
        return new MessageQueueService(queueClient);
    }
});

额外检查点 #

• RBAC角色生效延迟：Azure的角色分配通常需要5-15分钟才能完全生效，如果刚配置完角色，等待一段时间再测试。
• 托管身份启用状态：确认Web应用的系统分配托管身份已在Azure门户中启用。
• 凭据获取日志排查：可以启用Azure App Service的日志记录，查看DefaultAzureCredential是否成功获取到系统分配身份的凭据。

内容的提问来源于stack exchange，提问作者Renato Silva