求助：APIM通过系统分配托管身份访问KeyVault失败（Terraform场景）

问题描述 #

按照官方文档配置APIM系统分配托管身份，并在Key Vault中为该身份授予Secret和证书管理权限后，使用Terraform创建APIM自定义域名和证书时触发以下错误：

Error: creating/updating Custom Domain: xxx performing CreateOrUpdate:
xx unexpected status 400 with error: InvalidOperation: Failed to
access KeyVault Secret xxx using Managed Service Identity
of Api Management service. Check if Managed
Identity of Type: SystemAssigned, ClientId: xxx and ObjectId: xxx has
GET permissions on secrets in the KeyVault Access Policies.

排查步骤 #

• 确认Key Vault访问策略权限
  检查为APIM系统身份配置的Key Vault访问策略，必须明确添加Secret的GET权限。证书管理权限与Secret权限相互独立，仅配置证书权限无法满足Secret读取需求。

• 验证身份匹配精度
  将Terraform错误中给出的ObjectId/ClientId，与Key Vault访问策略中绑定的APIM系统身份ObjectId做精确比对，确保没有复制错误或选择了错误的身份实体。

• 检查Key Vault网络限制
  若Key Vault启用了防火墙或虚拟网络规则：

  • 确认APIM所在虚拟网络已被纳入Key Vault的允许列表
  • 或开启Key Vault的"允许受信任的Microsoft服务访问"选项（APIM属于受信任服务范畴）

• 核对Terraform配置正确性
  检查APIM资源是否正确启用系统分配身份：

  resource "azurerm_api_management" "example" {
    name                = "example-apim"
    location            = azurerm_resource_group.example.location
    resource_group_name = azurerm_resource_group.example.name
    publisher_name      = "Example Publisher"
    publisher_email     = "publisher@example.com"
  
    identity {
      type = "SystemAssigned"
    }
  }
  

  同时确认自定义域名引用的Key Vault证书路径格式正确，应为https://<key-vault-name>.vault.azure.net/secrets/<secret-name>（可指定版本路径）。

• 等待权限生效延迟
  Azure访问策略变更可能存在5-10分钟的生效延迟，若刚完成权限配置就执行部署，可等待一段时间后重试。

• 手动验证身份访问能力
  使用Azure CLI测试APIM身份对目标Secret的访问权限：

  # 获取APIM系统身份的PrincipalId
  az apim show --name <apim-name> --resource-group <rg-name> --query identity.principalId -o tsv
  
  # 测试身份读取Secret的权限
  az keyvault secret show --name <secret-name> --vault-name <kv-name> --debug --identity <apim-principal-id>
  

  根据CLI返回的错误信息，可进一步定位权限缺失、网络阻断等具体问题。

内容的提问来源于stack exchange，提问作者Łukasz Komosa