部署到Kubernetes后Azure Function App密钥频繁变更问题求助

方案1：手动指定固定默认密钥 #

Azure Function App在K8s环境中默认会在Pod启动时生成新密钥，核心原因是未固定密钥相关环境变量。你可以通过设置以下环境变量强制使用固定密钥：

• WEBSITE_AUTH_SIGNING_KEY：填入需要固定的签名密钥值
• WEBSITE_ENCRYPTION_KEY：填入固定的加密密钥值
• 显式设置AzureWebJobsSecretStorageType为Files（默认值，但显式配置更稳妥）

在Kubernetes Deployment配置中添加这些环境变量，建议通过K8s Secrets或Azure Key Vault CSI驱动挂载变量值，既保证密钥安全，又能让所有Pod实例复用同一组固定密钥，Pod重启时不会重新生成新密钥。

方案2：改用Azure Key Vault作为密钥存储 #

将密钥存储从存储账户的azure-webjob-secrets文件夹切换到Azure Key Vault，彻底避免本地生成密钥的问题：

1. 设置环境变量AzureWebJobsSecretStorageType为KeyVault
2. 添加AzureWebJobsSecretStorageKeyVaultUri变量，值为你的Key Vault URI（例如https://your-vault.vault.azure.net/）
3. 为Pod使用的服务主体（或托管身份）配置Key Vault权限，至少需要secrets/get、secrets/list、secrets/set权限

这样Function App会直接从Key Vault读取和存储密钥，Pod重启时不会触发密钥重新生成，同时密钥管理统一到Key Vault，无需手动同步。

方案3：持久化密钥文件存储目录 #

如果偏好文件存储方式，可通过持久化卷挂载azure-webjob-secrets所在目录，确保Pod重启后密钥文件不丢失：

• 在Kubernetes中创建PersistentVolumeClaim（PVC），关联Azure Files或其他持久化存储
• 在Deployment的volumeMounts中，将Function App的/home/site/wwwroot/App_Data/Jobs（或azure-webjob-secrets具体路径）挂载到该PVC
• 确保所有Pod实例共享同一PVC，密钥文件会在Pod重启后保留，不会重新生成新密钥

内容的提问来源于stack exchange，提问作者Srinivas B