如何解决控制台程序通过服务账户访问Azure Key Vault的认证失败问题

核心原因 #

DefaultAzureCredential的认证链在你的场景下（无托管身份、无本地开发工具登录）没有可用的认证方式，所以抛出CredentialUnavailableException。下面是几种无需硬编码密钥的可行方案：

方案1：利用Windows集成认证（适用于域服务账户） #

如果你的服务账户是域账户且已通过Azure AD混合加入关联到Azure AD：

1. 在Azure门户中，找到该服务账户对应的Azure AD用户对象（可通过账户UPN搜索），复制其对象ID。
2. 在Key Vault的「访问策略」中添加该对象ID，授予「机密权限-获取」权限。
3. 可选优化代码（减少无效认证尝试）：

   var options = new DefaultAzureCredentialOptions
   {
       ExcludeInteractiveBrowserCredential = true,
       ExcludeVisualStudioCredential = true,
       ExcludeVisualStudioCodeCredential = true,
       ExcludeAzureCliCredential = true
   };
   var client = new SecretClient(new Uri("https://kv-xxx.vault.azure.net"), new DefaultAzureCredential(options));
   var secret = client.GetSecret("xxx-api-key");
   

   此时DefaultAzureCredential会优先尝试Windows集成认证，用服务账户的Azure AD身份完成授权。

方案2：使用服务主体+系统环境变量 #

这种方式无需修改代码，只需在服务器配置环境变量：

1. 在Azure AD中创建服务主体，记录其客户端ID、租户ID，生成并保存客户端密钥。
2. 在Key Vault的「访问策略」中添加该服务主体，授予「机密权限-获取」权限。
3. 在服务器设置系统级环境变量（服务账户可读取）：
   • AZURE_CLIENT_ID: 服务主体的客户端ID
   • AZURE_TENANT_ID: 你的Azure租户ID
   • AZURE_CLIENT_SECRET: 服务主体的客户端密钥
4. 重启程序后，DefaultAzureCredential会自动读取这些变量完成认证。

方案3：在服务账户上下文预登录Azure CLI #

适合临时测试场景：

1. 打开命令提示符，用runas /user:你的服务账户 cmd切换到服务账户上下文。
2. 运行登录命令：

   az login --service-principal -u <服务主体客户端ID> -p <客户端密钥> --tenant <租户ID>
   

3. 登录成功后，服务账户运行的程序可通过DefaultAzureCredential利用Azure CLI缓存完成认证。注意：登录状态会过期，需定期重新操作。

关键排查点 #

• 确认Key Vault访问策略已正确关联目标身份（服务账户Azure AD对象ID或服务主体ID），且权限已保存生效。
• 查看CredentialUnavailableException的内层异常，明确具体失败的认证步骤，针对性解决。

内容的提问来源于stack exchange，提问作者Toby