使用Managed Identity的Azure Function App无法触发Event Hub触发器

尝试创建基于托管标识（Managed Identity）的Azure Function App并配置Event Hub触发器，所有资源引用已正常解析，但向Event Hub发送消息时，Function App未被触发（未生成预期的日志条目）。

资源部署配置（Terraform） #

main.tf #

variable "resource_group_name" {}
variable "location" { default = null }

variable "function_app_name" {}
variable "event_hub_name" {}


resource "azurerm_resource_group" "rg" {
  name     = var.resource_group_name
  location = var.location
}

resource "azurerm_service_plan" "sp" {
  name                = "fnappserviceplan"
  resource_group_name = azurerm_resource_group.rg.name
  location            = azurerm_resource_group.rg.location
  os_type             = "Linux"
  sku_name            = "B1"
}

resource "azurerm_eventhub_namespace" "hub" {
  name                = var.event_hub_name
  location            = azurerm_resource_group.rg.location
  resource_group_name = azurerm_resource_group.rg.name
  sku                 = "Standard"
  capacity            = 1
}

resource "azurerm_eventhub" "hub" {
  name                = "myEventHub"
  namespace_name      = azurerm_eventhub_namespace.hub.name
  resource_group_name = azurerm_resource_group.rg.name
  partition_count     = 2
  message_retention   = 1
}

resource "azurerm_storage_account" "fnapp" {
  name                     = "safnapp"
  resource_group_name      = azurerm_resource_group.rg.name
  location                 = azurerm_resource_group.rg.location
  account_tier             = "Standard"
  account_replication_type = "LRS"
}

resource "azurerm_linux_function_app" "fnapp" {
  name                = var.function_app_name
  resource_group_name = azurerm_resource_group.rg.name
  location            = azurerm_resource_group.rg.location
  service_plan_id     = azurerm_service_plan.sp.id

  storage_account_name       = azurerm_storage_account.fnapp.name
  storage_account_access_key = azurerm_storage_account.fnapp.primary_access_key

  app_settings = {
    # tried this but it doesn't recognize the connection, so I went with the connection string instead
    # "EVENTHUB__fullyQualifiedNamespace" = "${azurerm_eventhub_namespace.hub.name}.servicebus.windows.net"

    "EVENTHUB"                = azurerm_eventhub_namespace.hub.default_primary_connection_string
    "EVENTHUB_CONSUMER_GROUP" = azurerm_eventhub_consumer_group.fnapp.name
  }

  site_config {
    always_on = true

    application_stack {
      python_version = "3.11"
    }
  }

  identity {
    type = "SystemAssigned"
  }
}

resource "azurerm_eventhub_consumer_group" "fnapp" {
  name                = "${var.function_app_name}ConsumerGroup"
  namespace_name      = azurerm_eventhub_namespace.hub.name
  eventhub_name       = azurerm_eventhub.hub.name
  resource_group_name = azurerm_resource_group.rg.name
}

函数代码 #

function_app.py #

import logging
import os

import azure.functions as func


app = func.FunctionApp()


@app.function_name(name="mylistener")
@app.event_hub_message_trigger(arg_name="hub",
                               event_hub_name="myEventHub",
                               connection="EVENTHUB",
                               consumer_group=os.getenv("EVENTHUB_CONSUMER_GROUP", "$Default"))
def myeventlistener(hub: func.EventHubEvent):
    event_body = hub.get_body().decode('utf-8')
    logging.info(f'Python EventHub trigger processed an event: {event_body}')

已执行的排查操作 #

• 为Function App的系统分配标识在资源组级别添加了Azure Event Hubs Data Receiver角色；自身账号添加Azure Event Hubs Data Owner角色用于操作Event Hub。
• 使用func azure functionapp publish MyFunctionAppName部署代码，通过func azure functionapp logstream MyFunctionAppName监控日志（预期看到logging.info()输出或触发系统日志）。
• 在Azure门户检查触发器连接（mylistener函数 > 集成 > 触发器 > Azure Event Hub），参数显示正确，连接已被识别，无“未找到连接”提示。
• 向Event Hub的各个分区发送明文消息，无触发迹象，无日志输出。

更新尝试及问题 #

尝试改用托管标识方式配置，取消Terraform中EVENTHUB__fullyQualifiedNamespace的注释，分别测试两种配置：

1. 设置EVENTHUB = azurerm_eventhub.hub.name，函数代码中connection="EVENTHUB"
2. 设置EVENTHUB__fullyQualifiedNamespace = "${azurerm_eventhub_namespace.hub.name}.servicebus.windows.net"，函数代码中connection="EVENTHUB__fullyQualifiedNamespace"

两种方式均导致门户显示“无可用连接”，并触发错误：

Azure.Messaging.EventHubs: 无法解析连接字符串；格式不正确或不包含已知令牌。

解决方案 #

1. 正确配置托管标识连接 #

要使用系统分配托管标识连接Event Hub触发器，需遵循以下规范：

Terraform应用设置调整

移除连接字符串配置，使用标准格式的命名空间环境变量：

app_settings = {
  "EVENTHUB_CONN__fullyQualifiedNamespace" = "${azurerm_eventhub_namespace.hub.name}.servicebus.windows.net"
  "EVENTHUB_CONSUMER_GROUP" = azurerm_eventhub_consumer_group.fnapp.name
}

格式说明：{连接名}__fullyQualifiedNamespace是Azure Functions识别托管标识连接的标准命名格式，{连接名}可自定义，需与函数代码中的connection参数对应。

函数代码调整

对应环境变量的前缀名称修改触发器配置：

@app.event_hub_message_trigger(arg_name="hub",
                               event_hub_name="myEventHub",
                               connection="EVENTHUB_CONN",  # 对应__fullyQualifiedNamespace的前缀
                               consumer_group=os.getenv("EVENTHUB_CONSUMER_GROUP", "$Default"))

2. 权限优化 #

• 将Function App的系统分配标识的Azure Event Hubs Data Receiver角色直接分配到Event Hub命名空间或目标Event Hub资源上（而非仅资源组级别），避免RBAC权限继承延迟。
• 等待5-15分钟让权限完全同步生效。

3. 触发器验证与日志排查 #

• 在Azure门户的函数集成页面重新保存触发器配置，确保系统正确识别托管标识连接。
• 查看Function App的Application Insights日志，检查是否存在权限相关报错（如401 Unauthorized）。

4. 其他排查点 #

• 确认消息发送到了正确的Event Hub实例（命名空间下的myEventHub），而非其他同名资源。
• 验证Event Hub分区计数与配置一致，消息未被其他消费者组消费。
• 使用Azure CLI确认权限分配：

  # 获取Function App系统标识ID
  az functionapp identity show --name <function-app-name> --resource-group <rg-name>
  # 检查角色分配
  az role assignment list --assignee <identity-id> --scope <eventhub-namespace-resource-id>
  

内容的提问来源于stack exchange，提问作者user2100826