如何实现Azure AppOnly持久化访问及密钥自动续期？

核心结论：微软没有无限期应用密钥 #

Azure AD的客户端密钥（Client Secret）确实最长仅支持2年有效期，没有官方的无限期选项——这是出于安全合规的强制要求，长期密钥泄露风险远高于短期密钥，微软的设计是倒逼用户采用更安全的身份验证方式。

替代方案1：用证书替换客户端密钥 #

客户端密钥属于对称加密，而证书是非对称加密，安全性更高，且证书有效期可设置长达10年，还能实现自动化续期：

• 生成自签名证书或CA颁发的证书（比如Let's Encrypt），将证书公钥上传到Azure AD应用的「证书和密码」页面。
• 代码中改用证书进行Client Credentials认证，不再依赖短期密钥。
• 当证书接近过期时，可通过ACME协议工具（如Certbot）自动生成新证书，再调用Microsoft Graph API编程更新Azure AD应用中的证书，全程自动化无需手动操作。

替代方案2：使用托管标识（Managed Identity） #

如果你的程序运行在Azure平台（比如Azure VM、App Service、Function App等），托管标识是最优解：

• 为Azure资源启用系统分配或用户分配的托管标识，无需手动创建任何密钥/证书。
• 托管标识由Azure自动管理，自动轮换凭据，完全不需要你维护密钥。
• 代码中直接通过托管标识获取Graph API令牌，无需配置任何密钥参数，彻底消除手动更新的麻烦。

关于流程复杂度的说明 #

微软的设计逻辑和Discord不同：Discord面向大量中小开发者，优先侧重易用性；而Azure AD主打企业级场景，安全合规优先级更高，强制短期密钥是为了降低泄露风险。采用上面的证书或托管标识方案，其实能实现比Discord更安全的无干扰运行。

内容的提问来源于stack exchange，提问作者Bitler