本地Visual Studio中Azure DefaultAzureCredential认证失败问题咨询

我们在Azure环境中使用**系统分配托管身份（System Assigned Managed Identity）**实现云资源间的调用认证。注册BlobServiceClient时，通过DefaultAzureCredential完成认证，代码如下：

services.AddAzureClients(builder =>
{
    builder.UseCredential(new DefaultAzureCredential());
    string url = string.Format("https://{0}.blob.core.windows.net/{1}",
                                                       blobStorageOptions.AccountName,
                                                       blobStorageOptions.ContainerName);
    builder.AddBlobServiceClient(new Uri(url));
});

根据官方文档，DefaultAzureCredential会依次尝试各类TokenCredential实现，直到其中一个成功，若全部失败则抛出CredentialUnavailableException。默认顺序为先调用ManagedIdentityCredential，再调用VisualStudioCredential，因此本地VS运行时，ManagedIdentityCredential失败后应自动尝试VisualStudioCredential并成功。但实际本地运行时，ManagedIdentityCredential抛出CredentialUnavailableException后程序直接失败，部署到Azure环境则正常。

我们已确认：

• VS的Tools>Options>AzureServiceAuthentication配置正确
• 账号权限充足

另外，尝试了官方推荐的ChainedTokenCredential方式（先ManagedIdentityCredential后VisualStudioCredential），同样本地失败；但调换凭证顺序后，本地和Azure环境均运行正常。该方式虽可用，但无法实现文档提及的性能优化。

怀疑DefaultAzureCredential未按设计工作，请问是否遗漏了配置或细节？

1. 显式指定DefaultAzureCredential的包含项 #

默认情况下DefaultAzureCredential应包含VisualStudioCredential，但如果存在隐式配置排除了该类型，会导致尝试链中断。可以显式配置确保VS凭证被纳入：

var credential = new DefaultAzureCredential(new DefaultAzureCredentialOptions
{
    ExcludeVisualStudioCredential = false,
    ExcludeManagedIdentityCredential = false
});
services.AddAzureClients(builder =>
{
    builder.UseCredential(credential);
    // 后续BlobServiceClient注册逻辑不变
});

2. 排查本地托管身份冲突 #

本地运行时，若存在Azure托管身份模拟器、Azurite身份配置或其他占用托管身份端口的服务，可能导致ManagedIdentityCredential抛出的异常被判定为致命异常而非可跳过的CredentialUnavailableException。尝试关闭这类工具后重新运行程序。

3. 重置VS的Azure账号上下文 #

即使VS的认证配置正确，也可能存在账号缓存过期或上下文异常：

• 打开VS的Team Explorer>Connect，重新登录Azure账号
• 清理VS缓存（Tools>Options>Environment>General中点击Clear Cache）
• 命令行执行az account clear后，再通过VS重新登录

4. 更新Azure SDK NuGet包 #

低版本的Azure.Identity包可能存在DefaultAzureCredential的逻辑bug，确保使用>=1.10.0的稳定版本，同步更新Azure.Storage.Blobs相关依赖包。

5. 确认ManagedIdentityCredential的异常类型 #

如果调换ChainedTokenCredential顺序后正常，说明本地环境中ManagedIdentityCredential抛出的不是CredentialUnavailableException（比如网络异常），导致链终止。可以捕获异常确认类型：

try
{
    var miCredential = new ManagedIdentityCredential();
    var token = await miCredential.GetTokenAsync(new TokenRequestContext(new[] { "https://storage.azure.com/.default" }));
}
catch (Exception ex)
{
    Console.WriteLine($"{ex.GetType().Name}: {ex.Message}");
}

内容的提问来源于stack exchange，提问作者kmerkle