配置Azure WebApp从Azure Key Vault读取密钥的权限问题排查

我在API中集成Azure Key Vault，密钥保管库内存储了一个密钥，本地环境下我的用户拥有访问权限可正常获取密钥，但预发布（staging）环境的WebApp权限配置始终无法生效。我已按照微软官方指南操作，也在Azure门户为WebApp的「系统分配标识」分配了「Key Vault Secrets User」角色，但问题仍未解决。

我的访问密钥代码如下：

var client = new SecretClient(vaultUri: new Uri("key-vault-uri"), credential: new DefaultAzureCredential());
KeyVaultSecret secret = client.GetSecret("secret-key-id");
var key = secret.Value.ToString();

排查与解决方案 #

1. 确认系统标识状态 #

进入WebApp的「设置」>「标识」，确保系统分配标识的状态为「开启」。若使用的是用户分配标识，需在代码中指定该标识的Client ID（DefaultAzureCredential默认优先用系统分配标识，用户分配需额外配置）。

2. 验证角色分配有效性 #

进入Key Vault的「访问控制（IAM）」>「角色分配」，搜索WebApp名称：

• 确认「Key Vault Secrets User」角色的分配范围是密钥保管库本身（而非父资源组或订阅）；
• 确认目标对象是WebApp的系统标识（而非你的个人用户或其他服务主体）。

3. 检查Key Vault网络配置 #

进入Key Vault的「网络」设置：

• 若设置为「选定的网络」，需将WebApp的出站IP地址加入防火墙允许列表，或开启「允许受信任的Microsoft服务访问此密钥保管库」选项；
• 若设置为「所有网络」，可跳过此检查，但生产环境建议限制访问范围。

4. 核对密钥名称准确性 #

代码中传入的"secret-key-id"需与Key Vault中存储的密钥名称完全一致（区分大小写，无需包含版本号，指定版本需额外传参）。

5. 强制使用托管标识认证 #

DefaultAzureCredential会尝试多种认证来源，若WebApp配置了其他环境变量（如AZURE_CLIENT_ID）可能干扰优先级，可强制使用托管标识：

var options = new DefaultAzureCredentialOptions
{
    ManagedIdentityClientId = "WebApp系统标识的Client ID", // 系统分配可留空，用户分配需填写对应ID
    ExcludeEnvironmentCredential = true,
    ExcludeVisualStudioCredential = true,
    ExcludeAzureCliCredential = true
};
var client = new SecretClient(new Uri("key-vault-uri"), new DefaultAzureCredential(options));

6. 查看日志定位问题 #

• 进入Key Vault的「活动日志」，搜索「GetSecret」操作，查看失败请求的状态码和错误详情（如403会明确权限缺失原因）；
• 查看WebApp的「日志流」或应用日志，确认是否存在AuthenticationFailed或AuthorizationFailed异常。

内容的提问来源于stack exchange，提问作者Brandon Parker