MongoDB静态加密（Encryption at Rest）配置：无法连接Azure Key Vault账户的问题求助

我之前也踩过MongoDB Atlas和Azure Key Vault集成的坑，结合你已经完成的配置，咱们一步步排查可能的问题：

1. 检查RBAC角色权限是否足够 #

你当前给Azure应用分配的是Azure Key Vault Reader角色，但这个角色仅具备只读权限，无法满足MongoDB Atlas静态加密所需的密钥操作（比如wrapKey、unwrapKey）。建议替换为：

• Key Vault Crypto User：这个角色专门用于密钥加密操作，刚好匹配Atlas的需求
• 或者更宽泛的Key Vault Contributor（如果业务允许的话）

2. 确认Azure Key Vault访问策略配置 #

除了RBAC角色，Azure Key Vault的访问策略也需要单独配置，确保你的应用程序被授予以下权限：

• 密钥权限：Get、Wrap Key、Unwrap Key
  操作步骤：进入Key Vault -> 访问策略 -> 添加访问策略 -> 选择你的应用程序 -> 勾选对应权限 -> 保存

3. 验证密钥状态与有效性 #

• 检查Key Vault中的目标密钥是否处于启用状态（避免被禁用或过期）
• 确认密钥版本是否正确：复制的密钥标识符要包含版本号（格式示例：https://your-vault.vault.azure.net/keys/your-key/abc123...），不要遗漏版本部分

4. 检查客户端密钥（Client Secret）的有效性 #

• 确认Client Secret是否已过期：Azure默认生成的Secret有效期为1年，若过期需重新生成并更新Atlas配置
• 复制Secret时确保没有包含多余的空格或换行符

5. 排查Key Vault网络访问限制 #

如果你的Key Vault配置了防火墙或虚拟网络规则：

• 临时将网络访问设置为允许所有网络进行测试，如果能连接成功，说明是网络规则挡住了Atlas的请求
• 后续可以添加MongoDB Atlas的IP范围到Key Vault的允许列表中（Atlas控制台可以获取对应的IP段）

6. 用Azure CLI测试本地连通性 #

通过Azure CLI模拟Atlas的请求，验证应用程序能否正常访问Key Vault：

1. 用应用凭据登录Azure：

az login --service-principal -u <Client ID> -p <Client Secret> --tenant <Tenant ID>

2. 尝试获取密钥信息：

az keyvault key show --name <你的密钥名称> --vault-name <你的Key Vault名称>

如果命令执行失败，说明问题出在Azure侧的配置；如果成功，再排查Atlas的配置细节

7. 核对配置字段的准确性 #

再次检查Atlas中填写的每个字段：

• 订阅ID、资源组名称、Key Vault名称是否完全匹配Azure控制台的信息
• 租户ID、客户端ID是否复制正确（注意不要混淆客户端ID和对象ID）

内容的提问来源于stack exchange，提问作者Hurup