Java使用用户名密码/环境变量读取Azure Key Vault密钥失败求助

一、解决EnvironmentCredential环境变量配置问题 #

核心需求：创建AZURE_CLIENT_ID和AZURE_CLIENT_SECRET #

这两个值来自Azure AD的服务主体，可通过两种方式创建：

方式1：Azure CLI快速创建

1. 确保已登录Azure CLI：az login
2. 创建服务主体并输出凭证：

   az ad sp create-for-rbac -n "KeyVaultAccessSP"
   

   执行后返回的JSON中：
   • appId → AZURE_CLIENT_ID
   • password → AZURE_CLIENT_SECRET
   • tenant → AZURE_TENANT_ID
3. 给服务主体分配Key Vault访问权限：

   az keyvault set-policy --name {你的Vault名称} --spn {appId值} --secret-permissions get list
   

方式2：Azure Portal手动创建

1. 进入Azure Portal → Azure Active Directory → 应用注册 → 新注册
2. 填写名称，选择账户类型（推荐单租户），完成注册后在概述页获取：
   • 应用程序(客户端)ID → AZURE_CLIENT_ID
   • 目录(租户)ID → AZURE_TENANT_ID
3. 进入证书和密码 → 客户端密码 → 新建客户端密码，设置过期时间后保存，复制生成的密码值（这就是AZURE_CLIENT_SECRET，仅显示一次）
4. 进入你的Key Vault → 访问策略 → 添加访问策略，选择所需的机密权限（如Get、List），选择刚创建的服务主体作为主体，保存配置

环境变量配置 #

设置三个环境变量：

• AZURE_TENANT_ID：上述租户ID
• AZURE_CLIENT_ID：服务主体客户端ID
• AZURE_CLIENT_SECRET：服务主体客户端密码

配置完成后，DefaultAzureCredential会自动读取这些变量完成认证。

二、解决UsernamePasswordCredential报错AADSTS7000218 #

错误原因 #

报错提示缺少client_assertion或client_secret，同时用户名密码流有严格限制：

• 不能用于启用MFA的用户账户
• 仅支持Azure AD工作/学校账户（不支持个人微软账户）
• 应用注册需配置客户端凭证或允许公共客户端流

解决方案 #

1. 补充客户端凭证到代码

修改UsernamePasswordCredentialBuilder，添加租户ID和客户端密码：

UsernamePasswordCredential usernamePasswordCredential = new UsernamePasswordCredentialBuilder()
        .clientId("xxxxxxxxxxxxxxxx1e60e93e1ccf")
        .tenantId("你的租户ID")
        .username("xxxxxxxxxxxx")
        .password("xxxxxxxxxxx")
        .clientSecret("你的应用注册客户端密码") // 新增客户端密码
        .build();

2. 检查应用注册与用户配置

• 进入Azure Portal → 应用注册 → 你的应用 → 认证 → 高级设置：
  • 如果提供了clientSecret，可以关闭「允许公共客户端流」；如果不提供，需开启该选项
• 确认使用的用户账户未启用MFA，否则用户名密码流无法正常工作
• 给用户账户分配Key Vault访问权限：进入Key Vault → 访问策略 → 添加访问策略，选择用户主体并分配机密权限

注意事项 #

用户名密码流存在安全风险（硬编码凭证、MFA限制），不推荐用于生产环境。优先使用DefaultAzureCredential配合服务主体环境变量或托管标识（Azure服务部署时）。

内容的提问来源于stack exchange，提问作者newbietostack