.NET 6操作Azure KeyVault出现403 Forbidden错误，请求排查配置问题

核心问题分析 #

403错误本质是权限未正确配置，你当前的订阅级角色分配对KeyVault无效——KeyVault的权限控制是独立的，需要直接在KeyVault资源上配置访问策略，而非仅依赖订阅级角色。

必须补充的配置步骤 #

1. 配置KeyVault专属访问策略 #

• 进入Azure门户的目标KeyVault资源，切换到「访问策略」标签页
• 点击「添加访问策略」，根据需求选择权限：
  • 若仅操作机密：勾选「机密权限」中的「设置」
  • 若同时创建密钥：额外勾选「密钥权限」中的「创建」
• 在「主体」搜索框中输入你注册的Microsoft Entra应用名称（或clientId），选中后完成添加并保存配置

2. 验证Entra应用的API权限 #

• 确认你的Entra应用添加的是KeyVault的应用权限（而非委派权限），且已完成管理员同意操作
• 无需添加Microsoft Graph相关权限，仅需保留Azure Key Vault对应的权限项（如secrets.set、keys.create）

3. 代码层面的验证点 #

• 检查config中的tenantId、clientId、secret、VaultName是否完全正确，无拼写或格式错误
• 可添加调试日志输出kvUri的正确性（注意避免泄露敏感凭证信息）
• 若需要创建密钥，需使用KeyClient而非SecretClient，示例代码：

var keyClient = new KeyClient(new Uri(kvUri), new ClientSecretCredential(config["tenantId"], config["clientId"], config["secret"]));
var createdKey = keyClient.CreateKey("your-key-name", KeyType.Rsa);

常见误区提醒 #

• 订阅级角色（如Contributor）无法直接赋予KeyVault的操作权限，必须单独配置KeyVault的访问策略
• 访问策略变更后需等待1-2分钟生效，不要立即执行测试代码
• 若后续切换为托管身份，需确保托管身份被添加到KeyVault的访问策略中（当前使用客户端凭证可忽略此条）

内容的提问来源于stack exchange，提问作者Varanasi Phaneendra