部署后Python脚本无法读取Azure环境变量VAULT_URL及访问Key Vault问题

问题1：读取环境变量VAULT_URL抛出KeyError #

排查步骤： #

• 重启Function App：Azure门户中添加/修改应用设置后，必须重启实例才能让新配置生效，尤其是生产槽位的配置。
• 核对变量名称大小写：Python的os.environ严格区分大小写，确认门户中设置的变量名是VAULT_URL（无拼写错误、大小写完全一致）。
• 改用安全读取方式：替换os.environ["VAULT_URL"]为os.getenv("VAULT_URL")，后者会返回None而非直接抛出异常，便于确认变量是否真的未加载。
• 确认配置位置：变量要添加在「配置」->「应用设置」标签下，不要误放在连接字符串或其他配置区域。

问题2：部署后访问Key Vault出现403权限错误（已分配Key Vault Administrator角色） #

排查步骤： #

• 确认角色分配对象：检查Key Vault的「访问控制(IAM)」->「角色分配」，确保主体是你的Function App系统托管标识（而非用户账户或其他服务）。
• 更换更精准的角色：Key Vault Administrator权限范围过大，且部分场景下不如细分角色生效直接。建议尝试分配「Key Vault Secrets User」角色，该角色包含获取密钥的必要权限（secrets/get）。
• 等待RBAC生效：Azure角色分配通常需要5-10分钟同步，刚分配完就测试可能会出现延迟。
• 检查网络限制：如果Key Vault启用了防火墙，需将Function App的出站IP加入允许列表，或者开启「允许受信任的Microsoft服务访问此密钥保管库」选项。
• 确认托管标识状态：在Function App的「身份」->「系统分配」中，确保状态为「开启」——只有启用托管标识，RBAC权限才能被正确应用。
• 统一权限模式：Key Vault同时支持RBAC和访问策略两种权限模式，若之前配置过访问策略，可能与RBAC冲突。建议在Key Vault的「访问配置」中选择「Azure role-based access control」，统一使用RBAC管理权限。
• 验证代码认证逻辑：部署后必须使用DefaultAzureCredential而非本地凭据，示例代码如下：

from azure.keyvault.secrets import SecretClient
from azure.identity import DefaultAzureCredential
import os

vault_url = os.getenv("VAULT_URL")
if not vault_url:
    raise ValueError("VAULT_URL environment variable not set")

credential = DefaultAzureCredential()
secret_client = SecretClient(vault_url=vault_url, credential=credential)
target_secret = secret_client.get_secret("your-secret-name")

内容的提问来源于stack exchange，提问作者Aidan Goldie