Visual Studio未登录时SecretClient访问Azure密钥库的认证原理咨询

SecretClient在未登录Visual Studio时，依赖Azure SDK的默认凭据链自动获取认证令牌，这个凭据链会按优先级依次尝试以下来源：

• Azure CLI凭据：如果你本地通过az login命令登录过Azure账号，SDK会自动读取CLI缓存的会话令牌，这是本地开发时最常见的无VS登录仍能认证的原因。你可以执行az account show验证当前CLI登录的账号，该账号应具备密钥库的访问权限。
• 环境变量凭据：若系统中配置了AZURE_CLIENT_ID、AZURE_CLIENT_SECRET、AZURE_TENANT_ID三个环境变量，SDK会使用对应的服务主体账号完成认证。
• Visual Studio Code凭据：如果在VS Code中通过Azure扩展登录过账号，SDK也会读取该缓存凭据。
• 托管标识：仅在部署到Azure服务（如App Service、VM）时生效，自动使用系统/用户分配的托管标识，本地开发场景优先级较低。
• 交互式浏览器认证：当前面所有凭据来源都失败时，SDK会弹出浏览器窗口要求登录Microsoft账号，但你的场景未触发此步骤，说明已有可用凭据来源。

你的代码中通过AddAzureClients注入SecretClient时，仅配置了VaultUri而未指定凭据提供者，因此SDK自动启用默认凭据链寻找可用认证方式，这就是未登录VS仍能成功访问密钥库的核心原因。

内容的提问来源于stack exchange，提问作者Pulkit Sharma