多appsettings.json文件下Azure Key Vault的正确配置方法

1. 调整配置加载顺序 #

确保在Program.cs中先加载环境特定配置文件，再加载Azure Key Vault，这样Key Vault的机密能正确覆盖本地配置。示例代码：

var builder = WebApplication.CreateBuilder(args);

builder.Configuration
    .SetBasePath(Directory.GetCurrentDirectory())
    // 加载基础配置
    .AddJsonFile("appsettings.json", optional: false, reloadOnChange: true)
    // 加载对应环境的配置文件
    .AddJsonFile($"appsettings.{builder.Environment.EnvironmentName}.json", optional: true, reloadOnChange: true)
    // 读取环境变量（用于部署场景）
    .AddEnvironmentVariables()
    // 最后加载Key Vault，确保优先级最高
    .AddAzureKeyVault(
        new Uri(builder.Configuration["KeyVault:Uri"]), 
        new DefaultAzureCredential()
    );

关键点：Key Vault的加载必须放在环境配置之后，否则会出现未读取到Key Vault地址的情况。

2. 环境配置文件与环境变量设置 #

• 确保appsettings.{Environment}.json中正确配置对应环境的Key Vault地址，比如开发环境的appsettings.Development.json可以指定测试用Key Vault的Uri。
• 本地开发时，检查系统环境变量ASPNETCORE_ENVIRONMENT是否设置为目标环境（如Development），否则程序会跳过对应环境配置文件的加载。
• 部署到Azure时，通过应用服务的「配置」面板设置ASPNETCORE_ENVIRONMENT和Key Vault相关变量，不要硬编码在配置文件里。

3. 验证Key Vault访问权限 #

环境切换后，应用的身份可能发生变化，必须确保当前身份拥有Key Vault的机密访问权限：

• 本地开发：检查你当前登录Azure的账户（比如Visual Studio、Azure CLI登录的账户）是否在Key Vault的访问策略中被授予Get和List权限（针对机密资源）。
• 部署环境：如果用应用服务托管标识，需将该标识添加到Key Vault的访问策略，同样赋予Get和List权限；如果用服务主体，确保服务主体的密钥或证书有效，且权限配置正确。

4. 统一机密名称格式 #

Azure Key Vault不支持配置键名中的冒号，所以当你要覆盖ConnectionStrings:MyDb这类配置时，Key Vault中的机密名称必须改为ConnectionStrings--MyDb（用双横线替代冒号），这样加载后才能正确映射到配置键。

5. 调试排查技巧 #

• 启动程序时查看控制台日志，确认EnvironmentName是否为目标环境，避免加载错误的配置文件。
• 临时添加配置打印代码，确认Key Vault的机密是否被成功加载：

foreach (var configPair in builder.Configuration.AsEnumerable())
{
    Console.WriteLine($"{configPair.Key}: {configPair.Value}");
}

• 检查DefaultAzureCredential的身份链：本地开发时会依次尝试Azure CLI、Visual Studio、Azure PowerShell等身份；部署时优先使用托管标识，如果身份获取失败，会直接导致Key Vault加载失败。

内容的提问来源于stack exchange，提问作者Marco Aurélio Souza