无需Secret Scope，Azure Databricks访问Key Vault超时问题求助

以下是针对你遇到的超时问题的排查和解决步骤：

1. 排查网络连通性 #

• 如果你的Databricks集群部署在VNet中，确保Azure Key Vault的防火墙与虚拟网络设置已添加该VNet的访问规则；若使用公共集群，需将Databricks集群的出站IP地址加入Key Vault的允许列表，或者临时设置Key Vault为允许所有网络访问（仅用于测试）。
• 可在Databricks笔记本中用以下命令测试连通性：

%sh curl -v https://mykeyvault.vault.azure.net/secrets/Mysecret?api-version=7.4

2. 调整客户端超时与重试策略 #

在创建SecretClient时显式设置超时参数并配置重试策略，应对网络波动导致的超时：

from azure.keyvault.secrets import SecretClient
from azure.identity import ClientSecretCredential
from azure.core.pipeline.policies import RetryPolicy
from azure.core.pipeline.transport import RequestsTransport

# 配置连接和读取超时，以及重试策略
transport = RequestsTransport(connect_timeout=10, read_timeout=30)
retry_policy = RetryPolicy(total_retries=3, retry_backoff_factor=1)

credentials = ClientSecretCredential(
    tenant_id='yyyyy',
    client_id='zzzz',
    client_secret='xxxxx'
)

secret_client = SecretClient(
    vault_url="https://mykeyvault.vault.azure.net/",
    credential=credentials,
    transport=transport,
    retry_policy=retry_policy
)

secret = secret_client.get_secret("Mysecret")

3. 验证库版本兼容性 #

你安装的azure-Keyvault是旧版整合包，官方现已拆分出独立的azure-keyvault-secrets等包，旧包可能存在兼容性问题。建议升级到最新稳定版：

%pip install --upgrade azure-identity azure-keyvault-secrets

4. 确认服务主体权限生效 #

再次检查Key Vault访问策略：

• 确保服务主体被授予机密权限中的Get和List权限；
• 权限添加后需等待1-2分钟同步生效，避免因权限未即时生效导致的访问问题。

5. 备选方案：使用Databricks托管身份 #

若服务主体方式仍有问题，可尝试用集群托管身份访问Key Vault，无需手动管理客户端密钥：

1. 为Databricks集群启用系统托管身份；
2. 在Key Vault中为该托管身份添加机密读取权限；
3. 使用以下代码访问：

from azure.keyvault.secrets import SecretClient
from azure.identity import DefaultAzureCredential

kv_URI = "https://mykeyvault.vault.azure.net/"
credential = DefaultAzureCredential()
secret_client = SecretClient(vault_url=kv_URI, credential=credential)
secret = secret_client.get_secret("Mysecret")

内容的提问来源于stack exchange，提问作者Kaja