通过ARM模板使用服务主体认证连接Azure KeyVault API

一、跨租户连接是否可行？ #

可行，但需要确保服务主体权限配置与ARM模板参数完全匹配，同时严格对应KeyVault所在租户的身份信息。

二、你的ARM模板参数问题排查 #

当前parameterValues存在几个可能触发Unauthorized错误的点：

• token:resourceUri取值错误：KeyVault的全局资源标识符应为https://vault.azure.net，而非具体Vault的URL（https://NAME_OF_VAULT.vault.azure.net/）。错误的资源URI会导致获取的令牌权限范围不匹配，无法访问目标Vault。
• token:TenantId需对应目标租户：此处必须填写KeyVault所在租户的ID，而非逻辑应用所在租户的ID，这是跨租户场景最容易混淆的点。
• 再次确认服务主体权限：即使手动验证过，也要确保服务主体在目标租户的KeyVault上配置了所需的访问策略（如Get、List等），且客户端密钥未过期、归属正确的目标租户应用注册。

修正后的parameterValues示例：

"parameterValues": {
    "vaultName":"NAME_OF_VAULT",
    "token:clientId" : "GUID_HERE",
    "token:clientSecret" : "SECRET_HERE",
    "token:TenantId" : "TARGET_VAULT_TENANT_GUID",
    "token:resourceUri": "https://vault.azure.net",
    "token:grantType": "client_credentials"
}

三、为何官方文档缺失相关配置？ #

这类跨租户API连接的ARM模板配置属于边缘场景，官方文档更侧重同租户内的常规部署流程，因此没有专门的详细说明。多数用户的解决方式是手动配置完成后导出ARM模板获取正确参数，或通过ARMClient/Azure CLI查询现有连接的配置来反向推导参数格式。此外，托管API的参数格式会随版本迭代变化，也导致官方文档难以实时覆盖所有边缘场景的细节。

内容的提问来源于stack exchange，提问作者LJsec