使用GitHub Action部署Azure Function时访问KeyVault遇阻

• 部署身份与函数运行身份的权限差异
  GitHub Action部署Azure Function时，使用的是部署所用的服务主体身份（而非函数应用自身的托管身份）。首次部署时，Azure会在配置环境变量后立即尝试初始化函数应用，这个阶段会用部署身份去访问KeyVault获取AzureWebJobStorage的连接字符串。如果你的部署身份没有被授予KeyVault的访问权限，就会出现权限错误。而改用明文连接字符串完成首次部署后，后续部署更新环境变量时，函数应用已经处于运行状态，此时是用自身的托管身份访问KeyVault，而这个身份已经配置了权限，所以可以正常获取密钥。

• 首次部署的初始化依赖限制
  Azure Function首次创建部署时，AzureWebJobStorage是核心依赖，用于完成基础环境初始化（比如存储触发器元数据、函数运行日志等）。如果这个配置指向KeyVault，部署流程中需要先从KeyVault拉取连接字符串才能完成初始化，但此时函数的托管身份可能还未完成绑定生效，导致无法正常解析密钥，进而初始化失败。用明文完成首次部署后，基础环境已经搭建完成，后续更新环境变量时不需要重新走完整的初始化流程，直接用已生效的托管身份访问KeyVault即可。

• 权限同步延迟（次要因素）
  部分场景下，即使提前给函数托管身份配置了KeyVault权限，Azure的权限同步可能存在短暂延迟。首次部署时权限还未完全生效，导致访问失败；而用明文部署成功后，等待的时间足够权限同步完成，此时改回KeyVault配置就能正常访问。

内容的提问来源于stack exchange，提问作者S-Wing