使用Azure.Identity与KeyVault.Secrets鉴权取秘钥及程序挂起问题排查

使用Azure.Security.KeyVault.Secrets和Azure.Identity库从Azure Key Vault获取密钥，通过appId、appKey和tenantId鉴权。尝试获取4个存储的密钥时，执行await GetSecretValueAsync(client, "secret_name")后程序无限挂起，无异常抛出，最终进程退出代码为4294967295 (0xffffffff)。请问代码是否存在错误？成功鉴权并获取密钥还需要哪些步骤？

using System;
using System.Configuration;
using System.Threading.Tasks;
using Azure.Identity;
using Azure.Security.KeyVault.Secrets;

namespace Helpers
{
    public class KeyVaultHelper
    {
        public static async Task<EntitySettings> GetCurrencyAllianceKeyVaultValue()
        {
            try
            {
                string keyVaultUrl = "my_url";

                var appId = ConfigurationManager.AppSettings["APP_ID"];
                var appKey = ConfigurationManager.AppSettings["APP_KEY"];
                var tenantId = ConfigurationManager.AppSettings["TENANT_ID"];

                var credential = new ClientSecretCredential(tenantId, appId, appKey);

                var client = new SecretClient(new Uri(keyVaultUrl), credential);

                var secret1 = await GetSecretValueAsync(client, "secret_name");
                var secretKey = await GetSecretValueAsync(client, "secret_name");
                var clientId = await GetSecretValueAsync(client, "secret_name");
                var clientSecret = await GetSecretValueAsync(client, "secret_name");

                return new EntitySettings
                {
                    secret1 = publicKey,
                    secret2 = secretKey,
                    secret3 = clientId,
                    secret4 = clientSecret
                };
            }
            catch (Exception ex)
            {
                throw;
            }
        }

        private static async Task<string> GetSecretValueAsync(SecretClient client, string secretName)
        {
            KeyVaultSecret secret = await client.GetSecretAsync(secretName);
            return secret.Value;
        }
    }
}

代码中存在的错误 #

1. 变量名不匹配：返回EntitySettings时使用了未定义的publicKey，实际应为前面声明的secret1，会导致编译或运行时异常。
2. 重复使用相同秘钥名称：四次调用GetSecretValueAsync都传入"secret_name"，无法获取四个不同的密钥，需替换为实际密钥名称。
3. 无效的异常处理：catch块仅直接抛出异常，无日志记录，无法定位具体问题。
4. 潜在异步死锁：如果调用GetCurrencyAllianceKeyVaultValue时用了.Wait()或.Result同步阻塞，会在IIS Express环境触发死锁——上下文等待任务完成，任务又等待上下文释放，最终导致进程崩溃。

成功鉴权并获取密钥的必要步骤 #

1. 配置Key Vault访问权限

   • 登录Azure门户，进入目标Key Vault的「访问策略」页面。
   • 给对应appId的AD应用添加权限，授予密钥权限中的「获取（Get）」权限并保存。
   • 确认目标密钥已存在于Key Vault中。

2. 修正代码问题

   • 修复变量名错误：将publicKey改为secret1。
   • 替换秘钥名称：把四次调用的"secret_name"换成实际的四个密钥名称。
   • 优化异常处理：添加日志记录（如Logger.Error(ex, "获取Key Vault密钥失败")），方便排查问题。
   • 避免死锁：调用GetCurrencyAllianceKeyVaultValue时全程用await，禁止混用.Wait()或.Result。

3. 验证配置正确性

   • 确认APP_ID、APP_KEY、TENANT_ID、keyVaultUrl配置值正确，APP_KEY未过期、未被禁用。
   • 可通过Azure CLI命令az keyvault secret show --name <secret-name> --vault-name <vault-name>验证密钥是否可访问。

4. 最佳实践优化

   • 复用SecretClient实例：该类是线程安全的，建议全局单例复用，避免每次调用新建实例，提升性能。

内容的提问来源于stack exchange，提问作者Thiago Brandão