Azure函数应用用户分配托管身份访问Key Vault设置失败求助

• 确认函数应用配置指定了用户分配身份
  默认情况下函数应用会用系统分配身份解析Key Vault引用，改用用户分配身份时，必须在应用设置中添加AZURE_CLIENT_ID，值为目标用户分配托管身份的客户端ID。缺少这一步，函数仍会尝试用系统身份访问，触发权限拒绝错误。

• 验证角色分配的作用域与生效状态
  检查Key Vault的IAM角色分配，确保Key Vault Secrets User角色的作用域是整个Key Vault资源（而非特定秘密或子资源）。另外，Azure IAM角色分配存在1-5分钟的生效延迟，若刚完成分配就部署函数，可能因权限未生效导致报错。

• 检查Key Vault的网络防火墙配置
  如果Key Vault启用了防火墙，需确认：要么函数应用的出站IP已加入允许列表，要么开启了“允许受信任的Microsoft服务访问此Key Vault”选项（Azure Function属于受信任服务，开启后托管身份可绕过防火墙限制）。

• 确认用户分配身份的关联状态
  进入函数应用的“身份”设置，切换到“用户分配”标签，确认目标身份已在列表中且状态为“已关联”。若关联操作未完成（比如网络问题导致的异常），需重新执行关联步骤。

• 校验Key Vault引用格式
  确保应用设置中的Key Vault引用格式正确，示例：
  @Microsoft.KeyVault(SecretUri=https://<vault名称>.vault.azure.net/secrets/<秘密名称>/<版本可选>)
  或简写形式：
  @Microsoft.KeyVault(VaultName=<vault名称>;SecretName=<秘密名称>)
  格式错误会直接导致引用解析失败。

• 查看函数应用诊断日志定位细节
  在函数应用的“监控”->“日志”中，搜索AccessToKeyVaultDenied相关日志，日志中会包含具体的错误子代码（如403的细分原因），可精准定位是身份未识别、权限不足还是网络拦截问题。

内容的提问来源于stack exchange，提问作者Maciej