通过CI/CD部署Azure Function App时无法使用Key Vault引用AzureWebJobsStorage

问题背景 #

通过Azure DevOps管道部署Azure Function App时，触发错误：Unable to find the storage account associated with the function app。使用AzureAppServiceSettings@1任务配置Key Vault引用，代码如下：

{
  "name": "AzureWebJobsStorage",
  "value": "@Microsoft.KeyVault(VaultName=${{ variables.KEY_VAULT_NAME }};SecretName=AZUREWEBJOBSSTORAGE)",
  "slotSetting": false
},

将该引用设置为AzureWebJobsStorage的配置后出现上述错误，推测原因是Key Vault引用需等到函数应用运行时初始化才会被解析，但Azure平台的存储账户检查在这之前就已执行。在Azure门户中将AzureWebJobsStorage替换为解析后的密钥值后，错误消失。

咨询问题 #

1. 是否可以通过Azure DevOps部署（使用AzureFunctionApp@1和AzureAppServiceSettings@1任务）为AzureWebJobsStorage配置Key Vault引用？
2. 还有哪些配置值使用Key Vault引用可能无法生效或引发部署问题？该行为是否有官方文档说明？

解答 #

问题1：能否通过DevOps部署为AzureWebJobsStorage使用Key Vault引用？ #

可以，但需要调整部署逻辑：

• 先确保函数应用已启用托管标识（系统分配或用户分配均可），且该标识拥有Key Vault的密钥读取权限。
• 调整部署顺序：先用AzureFunctionApp@1完成应用代码部署，再执行AzureAppServiceSettings@1设置Key Vault引用。不能在代码部署前配置该引用，否则部署阶段的存储账户预检查会因无法解析引用而失败。
• 若已完成首次部署，后续更新时可直接通过DevOps管道覆盖AzureWebJobsStorage的Key Vault引用配置，此时平台会跳过预检查（因为函数应用已完成初始化）。

问题2：哪些配置值用Key Vault引用可能出问题？是否有官方文档说明？ #

以下类型的配置使用Key Vault引用时，易在部署或启动阶段出现问题：

• 函数应用核心启动依赖配置：除AzureWebJobsStorage外，还包括WEBSITE_CONTENTAZUREFILECONNECTIONSTRING（当使用文件存储托管应用内容时）、与WEBSITE_CONTENTSHARE关联的存储连接字符串等。这类配置会被Azure平台在应用启动前提前验证，而Key Vault引用的解析发生在运行时，因此预检查会失败。
• App Service基础架构相关配置：比如WEBSITE_RUN_FROM_PACKAGE对应的远程存储连接字符串，部分场景下平台会在部署阶段提前验证该连接，无法等待运行时解析引用。

官方文档明确了这类限制：平台在启动/部署阶段需要直接读取的核心配置，不能使用Key Vault引用，必须直接设置明文值（或通过ARM模板部署时在部署阶段完成密钥解析）；仅应用运行时代码读取的配置，可安全使用Key Vault引用。核心判断原则是：若配置需要被Azure平台而非应用代码在启动前读取，就不能用Key Vault引用。

内容的提问来源于stack exchange，提问作者cody.codes