.NET 8独立版Azure Function如何避免Key Vault权限问题致崩溃

针对你的场景，核心是让配置系统在Key Vault访问失败时不中断启动流程，同时 fallback到本地或其他配置源的内容，以下是具体实现方案：

方案1：配置Key Vault允许访问失败（推荐） #

使用AzureKeyVaultConfigurationOptions的AllowKeyVaultAccessFailure属性，让配置系统在Key Vault访问出错时自动忽略该源，继续使用已有配置完成启动。

var vaultUri = new Uri(Environment.GetEnvironmentVariable("KeyVaultUri"));
var keyVaultOptions = new AzureKeyVaultConfigurationOptions
{
    // 允许Key Vault访问失败，不中断配置构建
    AllowKeyVaultAccessFailure = true,
    // 可选：设置自动重试间隔，后续会自动尝试重新连接Key Vault
    ReloadInterval = TimeSpan.FromMinutes(5)
};

// 添加Key Vault配置源并指定选项
builder.AddAzureKeyVault(vaultUri, new DefaultAzureCredential(), keyVaultOptions);

// 直接构建配置，无需try-catch包裹
var config = builder.Build();

这个选项是官方提供的故障保护机制，能避免因Key Vault临时授权问题、网络波动导致的启动失败，同时后续会按设置的间隔自动重试连接，恢复正常后会自动加载Key Vault中的配置。

方案2：手动处理异常并移除Key Vault配置源 #

如果需要更精细的控制，可以在捕获Key Vault异常后，手动移除对应的配置源，再重新构建配置：

IConfiguration config;
var vaultUri = new Uri(Environment.GetEnvironmentVariable("KeyVaultUri"));

try
{
    // 添加Key Vault配置源
    builder.AddAzureKeyVault(vaultUri, new DefaultAzureCredential());
    config = builder.Build();
}
catch (RequestFailedException ex) when (ex.Status == 403)
{
    _log.LogError(ex, "Key Vault授权失败，将使用本地配置启动");
    // 移除已添加的Key Vault配置源
    var keyVaultSource = builder.Sources.OfType<AzureKeyVaultConfigurationSource>().FirstOrDefault();
    if (keyVaultSource != null)
    {
        builder.Sources.Remove(keyVaultSource);
    }
    // 重新构建不包含Key Vault的配置
    config = builder.Build();
}
catch (Exception ex)
{
    _log.LogError(ex, "加载Key Vault配置失败，使用本地配置启动");
    // 同上移除配置源并构建
    var keyVaultSource = builder.Sources.OfType<AzureKeyVaultConfigurationSource>().FirstOrDefault();
    if (keyVaultSource != null)
    {
        builder.Sources.Remove(keyVaultSource);
    }
    config = builder.Build();
}

额外注意事项 #

• 确保核心配置（如触发器连接字符串、函数基础配置）在本地配置文件（local.settings.json或Azure应用服务配置）中有 fallback值，避免Key Vault不可用时缺少必要配置。
• 你的业务代码已经做了配置属性的故障保护，要确保这些代码在获取不到Key Vault配置时，能正确使用默认值或本地配置值。

内容的提问来源于stack exchange，提问作者Gustav