.NET 6应用Azure AD认证：Key Vault读取ClientSecret失败排查

1. 确认App Service对Key Vault的访问权限 #

• 得确保App Service的系统分配（或用户分配）托管身份，已经拿到Key Vault的机密读取权限（Secret Get）
• 去Key Vault的访问策略里核查，确认该身份存在且权限配置正确，避免因权限不足无法拉取ClientSecret

2. 修正appsettings.json的配置 #

• 不要在appsettings.json的AzureAD节点里保留Key Vault引用，直接将ClientSecret字段留空或删除，避免和App Service应用设置冲突：

"AzureAD": {
  "Instance": "https://login.microsoftonline.com/",
  "Domain": "your-domain.com",
  "ClientId": "your-client-id",
  "TenantId": "your-tenant-id",
  "ClientSecret": "" // 留空或直接删除该行
}

3. 检查App Service应用设置的格式 #

• 应用设置名称必须是AzureAd__ClientSecret（注意是两个下划线，用于区分配置层级），值要填正确的Key Vault Secret Uri，格式示例：@Microsoft.KeyVault(SecretUri=https://your-vault-name.vault.azure.net/secrets/your-client-secret-id/)
• 确认App Service已启用托管标识，且Key Vault引用的格式无拼写错误

4. 调整Program.cs的认证配置逻辑 #

• 确保配置从IConfiguration直接读取，避免硬编码，示例代码：

var builder = WebApplication.CreateBuilder(args);

// 配置Azure AD认证及下游API调用
builder.Services.AddAuthentication(OpenIdConnectDefaults.AuthenticationScheme)
    .AddMicrosoftIdentityWebApp(builder.Configuration.GetSection("AzureAD"))
    .EnableTokenAcquisitionToCallDownstreamApi()
    .AddInMemoryTokenCaches();

// 其他中间件配置...

var app = builder.Build();

app.UseAuthentication();
app.UseAuthorization();

// 路由及其他配置...

app.Run();

• 这里builder.Configuration.GetSection("AzureAD")会自动合并appsettings.json和App Service应用设置的内容，优先读取应用设置中的AzureAd__ClientSecret

5. 排查具体错误日志 #

• 打开App Service的诊断日志，查看认证过程中的报错：
  1. 进入App Service的「监控」->「日志流」
  2. 尝试登录，查看是否出现IDX20807（无法获取密钥）或IDX20108（ClientSecret无效）这类错误，它们能直接指向问题根源
• 本地测试时，可通过dotnet user-secrets set "AzureAd:ClientSecret" "你的密钥值"模拟生产配置，验证代码逻辑是否正常

内容的提问来源于stack exchange，提问作者Lucky