Docker镜像构建注入环境变量失败：无法免参数访问Azure KeyVault

方案1：用Azure托管身份（生产环境首选） #

不管你把容器部署到Azure容器实例(ACI)、Azure App Service还是AKS，都能借助Azure托管身份机制，让容器直接通过身份认证访问KeyVault，全程无需传入任何环境变量：

• 部署容器时，启用系统分配托管身份或用户分配托管身份
• 给该托管身份配置Azure KeyVault的访问策略（至少需「机密读取」权限）
• 调整.NET应用的KeyVault配置，用DefaultAzureCredential替代手动传入的服务主体凭据：

  var builder = WebApplication.CreateBuilder(args);
  builder.Configuration.AddAzureKeyVault(
      new Uri("https://your-keyvault-name.vault.azure.net/"),
      new DefaultAzureCredential());
  

DefaultAzureCredential会自动识别Azure环境中的托管身份，无需额外配置环境变量；本地IDE运行时，也会自动调用你已登录的Azure账户（比如Visual Studio、Azure CLI）完成认证，完美兼容本地开发和容器部署场景。

方案2：Azure DevOps Pipeline构建时注入凭据（不推荐，有安全风险） #

如果必须将凭据打包进镜像（仅建议测试场景使用），可以在Pipeline中从Azure KeyVault拉取服务主体凭据，再通过Docker构建参数注入到镜像环境变量：

1. 在Azure DevOps Pipeline中添加「Azure Key Vault」任务，拉取AZURE_CLIENT_ID、AZURE_CLIENT_SECRET、AZURE_TENANT_ID三个值
2. 修改Dockerfile，通过ARG接收参数并设置为ENV：

   ARG AZURE_CLIENT_ID
   ARG AZURE_CLIENT_SECRET
   ARG AZURE_TENANT_ID
   ENV AZURE_CLIENT_ID=$AZURE_CLIENT_ID
   ENV AZURE_CLIENT_SECRET=$AZURE_CLIENT_SECRET
   ENV AZURE_TENANT_ID=$AZURE_TENANT_ID
   

3. 在Pipeline的Docker构建命令中传递参数：

   docker build --build-arg AZURE_CLIENT_ID=$(AZURE_CLIENT_ID) --build-arg AZURE_CLIENT_SECRET=$(AZURE_CLIENT_SECRET) --build-arg AZURE_TENANT_ID=$(AZURE_TENANT_ID) -t your-acr-name.azurecr.io/your-image:tag .
   

⚠️ 注意：此方法会将敏感凭据直接打包进镜像，一旦镜像泄露，凭据也会随之泄露，生产环境严禁使用。

方案3：AKS Secrets或Pod身份（部署到AKS时使用） #

如果容器部署到Azure Kubernetes Service：

• Pod身份方案：启用AKS的Pod身份功能，给Pod绑定拥有KeyVault访问权限的托管身份，应用端用DefaultAzureCredential自动识别，无需传参
• Secrets挂载方案：将服务主体凭据存入AKS Secrets，在Pod部署YAML中把Secrets挂载为环境变量，容器启动时自动加载：

  env:
    - name: AZURE_CLIENT_ID
      valueFrom:
        secretKeyRef:
          name: keyvault-secrets
          key: client-id
    - name: AZURE_CLIENT_SECRET
      valueFrom:
        secretKeyRef:
          name: keyvault-secrets
          key: client-secret
    - name: AZURE_TENANT_ID
      valueFrom:
        secretKeyRef:
          name: keyvault-secrets
          key: tenant-id
  

可通过Azure DevOps Pipeline自动将KeyVault中的凭据同步到AKS Secrets，避免手动操作。

总结 #

生产环境优先选择托管身份方案，既安全又无需任何手动传参，完全满足你的需求；测试场景可临时使用Pipeline注入凭据，但务必注意安全风险。

内容的提问来源于stack exchange，提问作者Alexander Brandhaug