无法列出Azure函数应用密钥及创建密钥失败问题求助

问题场景 #

在development订阅中，通过DevOps流水线运行Bicep模板创建了一个Azure Function App，托管在运行正常的Windows App Service Plan上。应用设置如下：

var functionAppSettings = {
  WEBSITE_RUN_FROM_PACKAGE: 1
  AzureWebJobsStorage__accountname: storageAccountName
  FUNCTIONS_EXTENSION_VERSION: '~4'
  FUNCTIONS_WORKER_RUNTIME: 'dotnet-isolated'
}

该应用使用托管标识连接存储账户，已分配Storage Blob Data Contributor和Storage Queue Data Contributor角色。

执行以下Azure CLI命令时返回Operation returned an invalid status 'Bad Request'错误：

az functionapp keys list --name <func app name> --resource-group <rg name> --query functionKeys.default | tr -d '"'

尝试创建新密钥的命令也返回相同错误：

az functionapp keys set -g <rg name> -n <func app name> --key-type functionkeys --key-name MyHostKey

但在存储账户的azure-webjobs-secrets容器中，host.json已包含MyHostKey条目。函数应用配置了VNet集成并使用子网关联的NAT网关，存储账户设置为“Public network access Enabled from all networks”。Azure门户的“App keys”页面无密钥显示。相同DevOps流水线部署到test订阅正常，删除development订阅资源组重新部署仍报错。

排查与解决步骤 #

• 确认托管标识角色作用域
  检查托管标识的角色分配是否精确到目标存储账户，而非父资源组或更上层范围。即使已分配Blob和Queue的Data Contributor角色，作用域错误可能导致权限不生效，影响密钥操作。

• 补全AzureWebJobsStorage托管标识配置
  当前仅设置了AzureWebJobsStorage__accountname，对于托管标识认证，需添加AzureWebJobsStorage__credential配置为managedidentity，完整设置如下：

  var functionAppSettings = {
    WEBSITE_RUN_FROM_PACKAGE: 1
    AzureWebJobsStorage__accountname: storageAccountName
    AzureWebJobsStorage__credential: 'managedidentity'
    FUNCTIONS_EXTENSION_VERSION: '~4'
    FUNCTIONS_WORKER_RUNTIME: 'dotnet-isolated'
  }
  

  缺少该配置会导致函数应用无法通过托管标识正确访问存储账户的密钥容器，进而引发密钥操作失败。

• 检查VNet出站流量限制
  尽管存储账户允许公网访问，NAT网关或子网的NSG可能限制了函数应用到Azure管理端点的出站流量。确保NSG出站规则允许访问AzureCloud服务标签，或Azure Functions管理相关的具体端点，避免CLI请求被拦截。

• 验证函数应用运行状态
  确认函数应用处于运行状态，若应用启动失败（如托管标识认证失败、存储连接异常），密钥管理操作会返回Bad Request。可通过门户查看应用日志，排查启动过程中的错误。

• 排查订阅级策略限制
  对比test订阅的Azure Policy配置，确认development订阅是否存在针对Microsoft.Web/sites/functions/keys资源的拒绝策略，这类策略会直接阻止密钥的读取和创建操作。

• 触发密钥同步
  在门户中重启函数应用，强制应用同步存储账户中的密钥数据。若存储中已有密钥但门户未显示，重启可触发同步流程，恢复密钥的可见性和可操作性。

内容的提问来源于stack exchange，提问作者Rob Bowman