Azure App Service后端无法访问Key Vault问题排查求助

1. 验证托管标识与访问策略的匹配性 #

• 确认App Service的托管标识类型：如果是系统分配托管标识，访问策略中必须选择App Service的名称作为主体；如果是用户分配标识，要确保选择的是对应的用户分配标识资源
• 检查访问策略的权限范围：确认给标识分配的权限覆盖了实际业务需求（比如读取机密需要机密-获取权限，读取密钥需要密钥-获取权限，不要选错权限类型）

2. 排查DefaultAzureCredential的认证干扰项 #

• 检查App Service的环境变量中是否存在AZURE_CLIENT_ID：系统分配托管标识不需要设置该变量，若存在会导致认证流程异常
• 确认App Service的“身份”面板中，系统分配标识的状态为开启，且没有未生效的配置变更

3. 通过应用日志定位具体错误 #

• 开启App Service的日志流或下载应用日志，查找Key Vault相关的异常栈信息：
  • 若出现403 Forbidden，大概率是权限或网络配置问题
  • 若出现URI解析错误，验证环境变量your-key-vault-name是否在部署后正确加载（可临时在program.cs中添加日志输出keyVaultName的值）

4. 检查Key Vault的网络访问控制 #

• 若Key Vault启用了防火墙：
  • 确认已将App Service的所有出站IP地址添加到Key Vault的防火墙白名单
  • 或者开启Key Vault防火墙设置中的“允许受信任的Microsoft服务访问此密钥保管库”选项
• 若使用虚拟网络集成，确认虚拟网络的路由规则未阻止App Service访问Key Vault的公网端点

5. 确认配置加载顺序 #

• 确保在program.cs中，AddAzureKeyVault的调用在读取your-key-vault-name配置之后，避免因配置未加载导致URI错误
• 验证Azure App Service的环境变量优先级：App Service的环境变量会覆盖appsettings.json中的值，确认your-key-vault-name的环境变量值正确

6. 直接测试托管标识的访问权限 #

• 使用Azure CLI模拟托管标识访问Key Vault，验证权限是否正常：

  # 登录到托管标识
  az login --identity --username <托管标识客户端ID>
  # 尝试获取一个机密
  az key-vault secret show --name <目标机密名称> --vault-name SanedDevKeyVault
  

  若命令执行失败，可直接得到具体的权限或认证错误信息

内容的提问来源于stack exchange，提问作者dode