Azure Functions Python访问Key Vault权限错误及日志异常求助

问题背景 #

我有一个基于HTTP触发器的Azure Functions Python函数，用于连接Key Vault访问密钥并打印，代码如下：

import logging
import azure.functions as func
from azure.keyvault.secrets import SecretClient
from azure.identity import DefaultAzureCredential


def main(req: func.HttpRequest) -> func.HttpResponse:
    logging.info('Python HTTP trigger function processed a request.')
    try:
        KVUri = f"https://XXXXX.azure.net/"
        credential = DefaultAzureCredential()
        logging.info('credential info is %s',credential)
        #client = SecretClient(vault_url=KVUri, credential=credential)

        client = SecretClient(vault_url=KVUri, credential=credential)
        password = client.get_secret('TestSecret').value
        logging.info('Secret value is %s', password)
        return func.HttpResponse("Function executed successfully", status_code=200)
    except Exception as e:
        return func.HttpResponse(f"An error occurred: {str(e)}", status_code=500)

测试时出现以下错误：

Message: The user, group or application 'appid=XX;oid=XX;iss=XXX' does not have secrets get permission on key vault 'XXXXXX;location=westeurope'. For help resolving this issue, please see https://go.microsoft.com/fwlink/?linkid=2125287
Inner error: {
"code": "AccessDenied"
}

密钥确实存在于Key Vault中，但出现此失败后，预期日志会显示失败信息，但日志未按预期记录，请问哪里操作有误？

问题排查与解决 #

1. 权限错误的解决 #

当前报错核心是Azure Functions使用的身份没有Key Vault的Secrets Get权限，需按以下步骤配置：

• 提取报错信息里的appid，找到对应的服务主体（即Azure Functions的系统分配/用户分配身份）
• 进入目标Key Vault的访问策略页面，点击添加访问策略
• 在权限模块中，勾选机密分类下的Get权限
• 在选择主体中搜索上述服务主体并选中添加
• 保存配置，等待权限生效（通常几分钟内即可）

2. 日志未记录失败信息的问题 #

你的代码仅在异常块返回错误响应，但没有写入错误日志，导致无法看到失败详情。修改except块，添加日志记录代码：

except Exception as e:
    logging.error('访问Key Vault失败: %s', str(e))  # 新增错误日志记录
    return func.HttpResponse(f"An error occurred: {str(e)}", status_code=500)

同时需确认Azure Functions的日志级别设置为Error或更低（如Info），确保logging.error输出的内容能被日志系统捕获并展示。

内容的提问来源于stack exchange，提问作者RCB