无法选择Azure Key Vault密钥至Azure DevOps变量组，选项置灰求助

切换到**Azure role-based access control (RBAC)**权限模型确实可能导致这个问题，因为RBAC与原有的Vault access policy权限逻辑不同，且Azure DevOps关联Key Vault密钥需要的权限不止Secret Officer角色。以下是具体的排查和解决步骤：

• 补充SPN的RBAC权限
  Secret Officer角色仅包含密钥的管理权限，但Azure DevOps要完成密钥关联，还需要SPN拥有对Key Vault的读取密钥详情和列表密钥的权限。建议为SPN分配Key Vault Contributor角色，或创建自定义角色包含以下权限：

  • Microsoft.KeyVault/vaults/secrets/read
  • Microsoft.KeyVault/vaults/secrets/list/action
  • Microsoft.KeyVault/vaults/read

• 验证服务连接配置
  确认Azure DevOps中使用的服务连接对应的SPN是你配置了权限的那个，且服务连接的权限范围覆盖Key Vault所在的订阅/资源组。完成后重新验证服务连接，确保连接状态正常。

• 等待权限生效
  RBAC权限分配通常需要1-5分钟才能生效，切换权限模型后可能有额外延迟，建议等待一段时间后再尝试关联密钥。

• 确认权限模型完全切换
  在Azure Portal的Key Vault -> 访问配置中，确认已彻底切换为RBAC模式，原有的Vault access policy已被禁用（无残留生效的策略）。

内容的提问来源于stack exchange，提问作者gs rao