Azure KeyVault访问被拒：客户端ID/密钥方式下的Scope问题咨询

数据老陈

2026-7-28

问题解决：Azure Key Vault 客户端凭据模式下的正确Scope配置

核心结论：正确的Scope值

你需要使用的Scope是 https://vault.azure.net/.default，而非拼接单个密钥保管库URI的版本。这个通用Scope适用于所有Key Vault实例的客户端凭据流，Azure AD会根据你的应用在Key Vault访问策略中配置的权限，自动生成匹配权限的访问令牌。

代码修正建议

推荐方案：使用最新Azure SDK库（替代过时的KeyVaultClient）

.NET 6中KeyVaultClient已标记为过时，推荐使用Azure.Security.KeyVault.Keys库的KeyClient，代码更简洁且维护性更强：

// 引入必要命名空间：Azure.Identity、Azure.Security.KeyVault.Keys
var credential = new ClientSecretCredential(tenantId, _clientId, _clientSecret);
var keyClient = new KeyClient(new Uri(kvUri), credential);

// 执行解密操作
var decryptResult = await keyClient.DecryptAsync(
    "mykeyname", 
    KeyOperationName.DecryptRsaOaep, 
    settings.RefreshTokenBinary,
    new DecryptOptions(KeyOperationName.DecryptRsaOaep) { KeyVersion = keyVersion });

兼容旧代码的修正方案

如果坚持使用原KeyVaultClient，只需替换Scope值即可：

var app = ConfidentialClientApplicationBuilder.Create(_clientId)
    .WithClientSecret(_clientSecret)
    .WithAuthority(authority)
    .Build();

// 替换为通用Key Vault Scope
var authResult = app.AcquireTokenForClient(new[] { "https://vault.azure.net/.default" })
    .ExecuteAsync().GetAwaiter().GetResult();
var accessToken = authResult.AccessToken;
_keyVaultClient = new KeyVaultClient(
    async (string a, string r, string s) => accessToken);

var refreshTokenResult = await _keyVaultClient.DecryptAsync(
    kvUri, "mykeyname", keyVersion, "RSA-OAEP", settings.RefreshTokenBinary);