从Azure Key Vault读取密钥至Function App时遇AccessToKeyVaultDenied错误

可能缺失的配置项： #

• 确认Function App系统托管标识状态
  必须启用Function App的系统分配托管标识，这是RBAC认证的核心身份。路径：Function App → 左侧「身份」→「系统分配」标签，确保状态为「已启用」，并复制该标识的对象ID备用。

• 检查Key Vault RBAC角色的正确性

  • 需为Function App的托管标识分配密钥专用RBAC角色，比如「密钥机密用户（Secret User）」，通用的「读者」角色不具备密钥的GET/LIST权限。
  • 确认角色分配的主体是Function App的托管标识（用之前复制的对象ID搜索），而非其他身份。

• Key Vault网络访问限制
  如果Key Vault启用了防火墙，需在「网络」设置中：

  • 允许Function App的出站IP访问；
  • 或勾选「允许受信任的Microsoft服务访问此密钥保管库」选项，否则网络层面会直接拦截请求。

• 验证SecretUri格式与有效性

  • 确认配置中的密钥版本（f63cxxxxxx5b2）未被删除或禁用，也可尝试不带版本的格式：@Microsoft.KeyVault(VaultName=kv-fuxxxnd;SecretName=nile-estate-test-key)，自动获取最新版本。
  • 确保SecretUri中的Vault域名、密钥名称完全正确。

• 权限生效验证
  用Azure CLI执行命令，确认权限已正确分配：

  az role assignment list --assignee <FunctionApp-Object-ID> --scope /subscriptions/<订阅ID>/resourceGroups/<资源组>/providers/Microsoft.KeyVault/vaults/kv-fuxxxnd/secrets/nile-estate-test-key
  

  检查输出是否包含Microsoft.KeyVault/secrets/get和Microsoft.KeyVault/secrets/list权限。

内容的提问来源于stack exchange，提问作者Dror