Python环境下Azure App Configuration与CLI SDK认证失败求助

问题1：DefaultAzureCredential 认证失败（Scope无效） #

报错中显示的无效Scope https://Endpoint=https://foo.azconfig.io;Id=XXXXXX;Secret=YYYYYY=/.default，核心原因是你将App Config的完整连接字符串错误作为服务URL传入，而非App Config的端点URL（格式应为https://<your-app-config-name>.azconfig.io）。

修复步骤： #

1. 修正环境变量AppConfigUrl的值，确保仅填写App Config服务的端点URL，不要包含Id和Secret信息。
2. 确认已正确设置服务主体的环境变量：AZURE_CLIENT_ID、AZURE_CLIENT_SECRET、AZURE_TENANT_ID，这三个变量是DefaultAzureCredential自动读取的认证参数。
3. 在Azure Portal的App Config资源中，通过**访问控制（IAM）**为服务主体分配App Configuration Data Reader或更高权限的角色，确保其具备读取配置的权限。

修正后的代码： #

import os
from azure.identity import DefaultAzureCredential
from azure.appconfiguration import AzureAppConfigurationClient

appCfgUrl = os.environ["AppConfigUrl"]
credential = DefaultAzureCredential()
client = AzureAppConfigurationClient(appCfgUrl, credential)
value = client.get_configuration_setting(key="your-config-key")

问题2：使用azure.cli.core调用login失败 #

azure.cli.core并非为应用代码调用设计，其内部模块结构不稳定，因此会出现找不到模块或命令不识别的错误。正确做法是使用azure.identity提供的AzureCliCredential，直接复用本地已登录的Azure CLI会话。

替换后的代码： #

import os
from azure.identity import AzureCliCredential
from azure.appconfiguration import AzureAppConfigurationClient

appCfgUrl = os.environ["AppConfigUrl"]
credential = AzureCliCredential()
client = AzureAppConfigurationClient(appCfgUrl, credential)
value = client.get_configuration_setting(key="your-config-key")

使用前需确保已在终端执行az login或az login --service-principal -u <client-id> -p <client-secret> --tenant <tenant-id>完成CLI认证。

额外排查建议 #

• 更新依赖包至最新版本：执行pip install --upgrade azure-identity azure-appconfiguration
• 本地调试时，可尝试使用VisualStudioCodeCredential，自动复用VS Code中Azure Account扩展的登录状态（需确保已安装该扩展并完成登录）。

内容的提问来源于stack exchange，提问作者Martin Hatch