配置AzureWebJobsSecretStorageType为KeyVault，Helm部署K8s Azure函数遇异常

核心问题根源 #

@Microsoft.KeyVault(SecretUri=...)是Azure App Service专属的秘密引用语法，Kubernetes集群没有内置解析能力。直接配置该值会导致Azure Functions runtime将其视为原始字符串，无法解析为有效的存储连接字符串，这就是你遇到No valid combination of account information found错误的原因。

同时，使用KeyVault作为Azure Functions的秘密存储，还需确保集群具备访问KeyVault的组件，以及托管身份权限配置正确。

解决方案步骤 #

1. 部署Azure Key Vault CSI驱动 #

Kubernetes集群需安装Azure Key Vault Secrets Provider（基于CSI驱动），才能让Pod直接从KeyVault拉取秘密并挂载为环境变量/文件。

2. 创建SecretProviderClass资源 #

定义一个SecretProviderClass，指定要从KeyVault拉取的秘密、托管身份及KeyVault信息：

apiVersion: secrets-store.csi.x-k8s.io/v1
kind: SecretProviderClass
metadata:
  name: azure-kv-func-secrets
spec:
  provider: azure
  parameters:
    useVMManagedIdentity: "true"
    userAssignedIdentityID: "<你的托管身份ID>"
    keyvaultName: "<你的KeyVault名称>"
    objects: |
      array:
        - |
          objectName: azurewebjobsstorage
          objectType: secret
        - |
          objectName: envVar1
          objectType: secret
        - |
          objectName: envVar2
          objectType: secret
    tenantId: "<你的Azure租户ID>"

3. 修改Helm Chart的Pod配置 #

移除@Microsoft.KeyVault格式，改用CSI驱动挂载的秘密作为环境变量，同时保留KeyVault秘密存储的核心配置：

...
spec:
  containers:
  - env:
    - name: ApplicationInsights__InstrumentationKey
      value: <appinsightsid>
    - name: AzureWebJobsSecretStorageType
      value: keyvault
    - name: AzureWebJobsSecretStorageKeyVaultClientId
      value: <managedidentity with kv permissions id>
    - name: AzureWebJobsSecretStorageKeyVaultUri
      value: <keyvault uri>
    # 从CSI挂载的秘密中读取值
    - name: AzureWebJobsStorage
      valueFrom:
        secretKeyRef:
          name: azure-kv-func-secrets
          key: azurewebjobsstorage
    - name: envVar1
      valueFrom:
        secretKeyRef:
          name: azure-kv-func-secrets
          key: envVar1
    - name: envVar2
      valueFrom:
        secretKeyRef:
          name: azure-kv-func-secrets
          key: envVar2
  volumes:
    - name: secrets-store-inline
      csi:
        driver: secrets-store.csi.k8s.io
        readOnly: true
        volumeAttributes:
          secretProviderClass: "azure-kv-func-secrets"
...

4. 验证托管身份权限 #

确保你配置的用户分配托管身份对目标KeyVault拥有以下权限：

• Secrets:Get
• Secrets:List
  可通过Azure门户或Azure CLI为KeyVault添加访问策略完成配置。

内容的提问来源于stack exchange，提问作者Phil