使用DevOps CI/CD导入Azure App配置时提示找不到读写访问密钥

你遇到的Cannot find a read write access key for the App Configuration错误，核心原因是默认情况下az appconfig命令会优先尝试查找访问密钥，但你已关闭密钥并改用托管标识，再结合私有端点环境，需补充以下配置：

1. 强制Azure CLI使用托管标识登录 #

在流水线的导入命令前，必须明确让自托管代理上的Azure CLI通过托管标识完成身份验证，而非依赖自动密钥查找。根据你的环境选择对应命令：

• 若使用DevOps服务主体的用户分配托管标识：

az login --identity -u <服务主体客户端ID/用户分配标识资源ID>

• 若代理虚拟机使用系统分配托管标识：

az login --identity

注：需确保登录所用标识已被授予Azure App Configuration Data Owner角色（你已配置此角色，需确认登录时确实复用该身份）。

2. 导入命令添加--auth-mode login参数 #

显式指定CLI使用当前登录的托管标识权限执行操作，跳过访问密钥查找逻辑：

az appconfig kv import --name <你的App配置实例名称> --source file --path <导入文件路径> --auth-mode login

3. 验证NSG流量规则 #

即使代理与私有端点同属一个VNET，仍需检查子网关联的NSG：

• 入站规则：允许代理虚拟机IP向App Configuration私有端点IP发起HTTPS(443)流量
• 出站规则：允许代理虚拟机向443端口发起出站请求（目标为私有端点IP）

4. 确认私有DNS解析有效性 #

在自托管代理虚拟机上执行解析测试，确保返回私有端点IP而非公网IP：

nslookup <你的App配置名称>.azconfig.io

若解析异常，检查私有DNS zone与VNET的关联配置，或确认虚拟机DNS服务器指向私有DNS zone的解析地址。

5. 确认角色权限的作用范围 #

确保Azure App Configuration Data Owner角色是直接分配给DevOps服务主体，且作用范围明确为目标App Configuration实例（而非仅订阅/资源组层级的Owner角色，数据操作需专属数据权限）。

内容的提问来源于stack exchange，提问作者PavanKumar GVVS