链接Azure Key Vault至变量组遇权限错误，设置后仍无法解决

1. 核对服务主体的一致性 #

确保PowerShell命令中使用的SPN，与Azure DevOps服务连接绑定的SPN完全匹配：

• 在Azure DevOps中打开目标服务连接，查看服务主体的ID或名称
• 运行Get-AzADServicePrincipal -SPN <你的SPN>，确认返回的ObjectId与Key Vault访问策略中绑定的ID一致

2. 检查访问策略的冲突规则 #

Key Vault的访问策略存在优先级，拒绝规则会覆盖允许权限：

• 登录Azure门户，进入目标Key Vault → 访问策略 → 检查是否存在针对该SP的拒绝权限
• 确保所有针对该SP的策略均为允许，且明确包含Get、List权限

3. 验证服务连接的范围与防火墙设置 #

• 确认服务连接使用的SPN拥有Key Vault所在订阅/资源组的Reader权限（最低要求）
• 若Key Vault启用了防火墙，需：
  • 将Azure DevOps的IP范围加入允许列表
  • 或勾选“允许受信任的Microsoft服务访问此密钥保管库”选项

4. 刷新Azure DevOps配置 #

• 编辑服务连接，点击“验证连接”确认其可用性
• 删除现有变量组与Key Vault的关联，重新创建关联并映射机密

5. 切换权限模型（若使用RBAC） #

如果Key Vault启用了Azure RBAC权限模型（而非传统访问策略），需为SPN分配Key Vault Secrets User角色：

• 进入Key Vault → 访问控制（IAM） → 添加角色分配 → 选择Key Vault Secrets User → 选中目标服务主体

内容的提问来源于stack exchange，提问作者user10434309