Azure函数应用升级至.NET 6（非隔离模式）后Azure部署出现KeyVaultSecretsRepository vaultUri参数异常

这个异常的核心原因很明确：Azure Functions v4运行时在初始化密钥管理组件时，没有获取到有效的vaultUri值，而本地运行正常和Azure部署失败的差异，本质是配置加载逻辑的区别。

为什么会出现这个问题？ #

1. 本地与Azure环境的配置差异：你本地的local.settings.json里大概率已经配置了正确的AzureWebJobsKeyVaultUri，所以本地运行时能正常加载Key Vault配置；但通过ARM模板部署到Azure时，这个关键配置要么没被添加到应用设置中，要么值为空/无效。
2. v4运行时的严格校验：Azure Functions v3对Key Vault配置的校验相对宽松，可能允许隐式配置或空值（会降级到本地密钥管理）；但升级到v4后，运行时会强制校验vaultUri的有效性，空值直接触发ArgumentException——这就是你看到的堆栈里那行代码的作用。

解决步骤 #

1. 修复ARM模板中的应用设置

确保你的ARM模板在函数应用的siteConfig.appSettings里显式添加AzureWebJobsKeyVaultUri配置，值为Key Vault的完整URI。推荐用ARM引用动态获取，示例如下：

{
  "type": "Microsoft.Web/sites",
  "apiVersion": "2022-03-01",
  "name": "[parameters('functionAppName')]",
  "properties": {
    "siteConfig": {
      "appSettings": [
        // 其他配置项...
        {
          "name": "AzureWebJobsKeyVaultUri",
          "value": "[reference(resourceId('Microsoft.KeyVault/vaults', parameters('keyVaultName')), '2022-07-01').vaultUri]"
        }
      ]
    }
  }
}

如果直接硬编码URI，要确保格式正确（比如https://your-vault-name.vault.azure.net/），但更推荐用引用方式保证一致性。

2. 验证函数应用的Key Vault权限

即使vaultUri配置正确，函数应用的托管身份（系统分配或用户分配）必须拥有Key Vault的访问权限：

• 进入Key Vault的访问策略页面
• 添加函数应用的身份（系统分配身份直接选函数应用名称，用户分配身份选对应的身份资源）
• 授予机密权限的Get和List（如果用到密钥/证书，按需添加对应权限）

3. 清理遗留的v3配置

升级到v4后，一些v3的旧配置可能会导致冲突，比如：

• 旧的自定义密钥管理配置项
• 与Key Vault相关的冗余配置（比如WEBSITE_LOAD_CERTIFICATES的旧用法）
  检查应用设置中是否有这类配置，清理后重新部署。

4. 确认部署后的配置有效性

部署完成后，到Azure门户的函数应用→配置→应用设置，检查AzureWebJobsKeyVaultUri是否存在且值正确。如果ARM模板部署没生效，可以手动添加这个配置并重启函数应用，测试是否解决问题。

5. 检查Key Vault的网络与状态

确保Key Vault处于正常运行状态，且网络配置允许函数应用访问：

• 如果Key Vault启用了防火墙，需添加函数应用的出站IP到允许列表，或者启用Azure服务访问选项
• 确认Key Vault没有被禁用或处于故障状态

总结 #

本地运行正常是因为local.settings.json直接提供了有效配置，而Azure环境完全依赖应用设置。v4运行时的严格校验暴露了部署过程中缺失的Key Vault配置，只要补全正确的AzureWebJobsKeyVaultUri并确保权限到位，就能解决这个异常。

内容的提问来源于stack exchange，提问作者Stephen Montgomery