如何从Key Vault获取连接串配置Azure Durable Function（本地K8s部署）

要让Durable Functions从Key Vault获取SQL连接串，核心是在Host构建阶段先加载Key Vault的配置源，确保Durable Task初始化时能读取到正确的连接串。具体步骤如下：

1. 在Program.cs中集成Key Vault配置
   在ConfigureAppConfiguration阶段添加Key Vault作为配置源，这个阶段是加载所有配置的入口，能确保后续Durable Task的配置能读取到Key Vault中的值：

   var host = new HostBuilder()
       .ConfigureAppConfiguration((context, config) =>
       {
           // 先加载本地配置（比如local.settings.json）
           var builtConfig = config.Build();
           // 从Key Vault加载配置，覆盖本地同名配置
           config.AddAzureKeyVault(
               new Uri(builtConfig["KeyVaultUri"]),
               new DefaultAzureCredential());
       })
       .ConfigureFunctionsWorkerDefaults()
       .AddDurableClientFactory()
       .AddDurableTask(options =>
       {
           // 直接读取配置中的SQLDB_Connection，此时已从Key Vault获取
           options.UseSqlServer(Environment.GetEnvironmentVariable("SQLDB_Connection"));
       })
       .Build();
   
   host.Run();
   

   这里DefaultAzureCredential会自动适配本地开发（Azure CLI登录）和生产环境（Managed Identity/服务主体）的身份验证方式。

2. 本地配置调整
   修改local.settings.json，只保留Key Vault的URI，不需要再存储SQLDB_Connection（如果保留，会被Key Vault的值覆盖）：

   {
     "IsEncrypted": false,
     "Values": {
       "FUNCTIONS_WORKER_RUNTIME": "dotnet-isolated",
       "KeyVaultUri": "https://your-vault-name.vault.azure.net/"
     }
   }
   

3. 权限配置

   • 本地开发：用az login登录Azure CLI，确保当前账号拥有Key Vault的Secret Get权限。
   • K8s部署：给Pod分配Managed Identity（推荐）或服务主体，确保该身份有访问Key Vault秘密的权限。

本地Kubernetes集群部署Durable Functions是完全可行的，不需要必须部署到Azure门户，具体选择取决于你的业务场景：

• 选Azure门户部署：如果需要全托管服务，减少运维成本（比如不用自己管理函数运行时、数据库、监控），或者业务完全基于Azure生态，优先选择这种方式。
• 保留本地K8s方案：如果需要自定义集群控制、满足本地数据合规要求、混合云部署，或者需要在本地环境与生产环境保持一致的测试流程，这个方案是合理的。
  注意：本地K8s部署需要自行维护函数运行时、Durable Task依赖的SQL数据库、日志监控等组件，运维成本相对更高。

• 确认ConfigureAppConfiguration中添加Key Vault的顺序在加载本地配置之后，这样Key Vault的配置才能覆盖本地值。
• 检查Durable Task的配置代码在ConfigureAppConfiguration之后执行，确保读取的是最新加载的配置。
• 本地开发时，验证Azure CLI登录的账号是否能通过az keyvault secret show --name SQLDB_Connection --vault-name your-vault-name获取到连接串，排除权限问题。

内容的提问来源于stack exchange，提问作者silentsudo