如何让Azure函数的Service Bus触发器从Key Vault读取连接字符串？

Service Bus触发器可以从Azure Key Vault读取连接字符串，但你当前的实现方式存在加载时机的问题，导致触发器无法获取到密钥值。

问题原因 #

Azure Functions的触发器绑定（包括Service Bus触发器）是在函数启动之前由Functions Runtime加载的。你在函数代码里通过configBuilder.AddAzureKeyVault添加的配置源，是在函数代码执行阶段才生效的，这时候Runtime已经完成了触发器的配置加载，自然找不到连接字符串，导致触发器无法触发。而手动配置环境变量时，Runtime能在启动阶段直接读取到这些变量，所以触发器能正常工作。

正确实现方式 #

方式1：使用Azure Functions托管标识+Key Vault引用（推荐）

这是官方推荐的无密钥方式，不需要修改代码：

• 给你的函数应用启用系统分配或用户分配的托管标识
• 在Key Vault的访问策略中，给该托管标识添加Secret Reader权限（授予Get操作权限）
• 在函数应用的配置页面（环境变量）中，添加一个名为Common:ServiceBus:ConnectionString的设置，值使用Key Vault引用格式：

  @Microsoft.KeyVault(SecretUri=https://<你的Key Vault名称>.vault.azure.net/secrets/<密钥名称>/<可选版本号>)
  

• 保存配置后，Functions Runtime会在启动阶段自动从Key Vault拉取密钥值，触发器就能正常读取到连接字符串。

方式2：自定义启动配置（适用于Isolated Worker模型）

如果使用.NET 7 Isolated Worker模型，可以在启动时配置Key Vault作为配置源，让Runtime在加载触发器前就能获取到密钥：

var host = new HostBuilder()
    .ConfigureFunctionsWorkerDefaults()
    .ConfigureAppConfiguration((context, config) =>
    {
        var builtConfig = config.Build();
        // KeyVaultUri需要提前在环境变量中配置（不能放在Key Vault里）
        var vaultUri = new Uri(builtConfig["KeyVaultUri"]);
        config.AddAzureKeyVault(vaultUri, new DefaultAzureCredential());
    })
    .Build();

host.Run();

同样需要确保函数应用的托管标识拥有Key Vault的Secret Reader权限。

验证要点 #

• 确认托管标识的Key Vault访问策略配置正确，权限范围包含目标密钥
• 检查Key Vault引用的格式是否正确，无拼写错误
• 查看函数应用的启动日志，确认是否有密钥加载失败的错误信息

内容的提问来源于stack exchange，提问作者Adam