Azure Function App使用托管身份认证API.Access范围失败求助

核心结论 #

这个场景并非不支持托管身份认证，而是当前Function App运行环境的实例元数据服务（IMDS）不可用，导致托管身份无法正常获取令牌。

问题原因 #

托管身份（无论系统分配还是用户分配）获取令牌的核心逻辑是调用IMDS服务（固定地址169.254.169.254），一旦IMDS未运行或无法访问，就会触发No User Assigned or Delegated Managed Identity found的错误。

解决路径 #

1. 优先修复IMDS不可用问题 #

检查以下关键配置：

• VNet网络配置：如果Function App部署在虚拟网络中，确认子网是否开启IMDS访问权限，或者出站规则是否允许访问169.254.169.254地址。
• 运行环境配置：若使用隔离环境（ASE）或高级计划，确认环境的IMDS服务是否正常部署；消费计划需排查平台是否存在临时网络异常。

修复IMDS后，原有的托管身份代码即可正常工作，无需更换认证方式。

2. 若IMDS无法修复的替代方案 #

无需直接放弃托管身份，可先尝试启用用户分配的托管身份，并在内部API的应用注册中为该托管身份授予API.Access的应用权限（注意是应用权限，而非委托权限，因为Function App是无用户上下文的后台服务）。但该方案仍依赖IMDS，若IMDS彻底不可用，再采用以下方案：

创建独立的应用注册（服务主体），配置客户端密钥，然后：

• 在内部API的应用注册中，为该服务主体授予API.Access的应用权限；
• 使用ClientSecretCredential替代ManagedIdentityCredential获取令牌，示例代码：

  var credential = new ClientSecretCredential("{租户ID}", "{应用注册ClientID}", "{客户端密钥}");
  _accessToken = await credential.GetTokenAsync(new TokenRequestContext(["api://49c35b57-3e95-4f80-a8fa-5536616f337c/API.Access"]), cancellationToken);
  

内容的提问来源于stack exchange，提问作者Cloudwalker