Azure Function与Azure KeyVault的链接应配置在何处？相关用法咨询

一、优先选择在Azure Function中配置环境变量链接KeyVault密钥 #

不建议在Azure DevOps流水线里配置，原因如下：

• 安全层面：如果在DevOps中配置，需要先从KeyVault取出密钥再注入流水线变量，多了一次密钥暴露的环节；直接在Function App里配置，密钥全程在Azure内部流转，不会经过DevOps流水线，风险更低。
• 代码一致性：本地开发用os.environ['api_key']读取环境变量，线上Function App配置后，代码完全不用修改，保持统一逻辑，减少维护成本。

二、在Azure Function中配置时，必须使用@Microsoft.KeyVault()语法 #

这个语法是Azure Function与KeyVault集成的核心，它会告知Function App自动从指定KeyVault拉取对应密钥作为环境变量的值，有两种常用写法：

1. 完整Secret URI写法：

   @Microsoft.KeyVault(SecretUri=https://your-keyvault-name.vault.azure.net/secrets/your-secret-name/your-secret-version)
   

2. 同一资源组简化写法（你的Function与KeyVault在同一资源组时适用）：

   @Microsoft.KeyVault(VaultName=your-keyvault-name;SecretName=your-secret-name)
   

配置完成后，代码依然可以用api_key = os.environ['api_key']读取，和本地开发逻辑完全一致。

额外注意：权限配置 #

要确保Azure Function的服务主体在KeyVault的访问策略中被授予Secret Get权限，否则Function App无法正常拉取密钥。

内容的提问来源于stack exchange，提问作者Andreas Steinberg