Azure Databricks中RStudio无法连接Azure Key Vault认证求助

本地RStudio能正常运行的Azure Key Vault调用，到Databricks RStudio里失效，核心原因是认证环境、网络隔离的差异——本地依赖的用户凭据或Azure CLI缓存在Databricks集群里不生效。下面是经过验证的解决步骤：

1. 优先用Databricks托管标识认证 #

这是Databricks环境下最安全、便捷的方式：

• 先给你的Databricks集群启用系统分配/用户分配托管标识（在集群配置的「高级选项」-「身份」里设置）
• 登录Azure门户，找到目标Key Vault，在「访问策略」里添加这个托管标识，授予密钥读取、机密读取权限
• 修改R代码，用托管标识自动认证：

library(AzureKeyVault)
# 托管标识自动完成认证，无需手动输入凭据
vault <- key_vault("https://mykeyvault.vault.azure.net", auth_type = "managed_service")

2. 排查网络防火墙限制 #

如果Key Vault开启了虚拟网络或IP防火墙，Databricks集群可能被拦截：

• 把Databricks集群所在的虚拟网络/子网添加到Key Vault的「防火墙与虚拟网络」允许列表
• 测试阶段可以临时关闭Key Vault防火墙，确认是否是网络问题（生产环境请勿操作）

3. 修复库依赖问题 #

Databricks的R环境可能存在包版本兼容问题：

• 安装最新版AzureKeyVault，连带依赖一起安装：

install.packages("AzureKeyVault", dependencies = TRUE)

• 检查是否缺少底层系统依赖（比如libcurl），Databricks通常预装，但可以用命令确认：

system("apt list --installed | grep libcurl")

4. 备选：服务主体认证 #

如果托管标识无法使用，可创建Azure服务主体：

• 在Azure AD里注册服务主体，给它分配Key Vault的访问权限
• 在R代码里用服务主体凭据认证：

library(AzureKeyVault)
# 替换成你的服务主体信息
auth <- AzureAuth::get_azure_token(
  resource = "https://vault.azure.net",
  tenant = "你的租户ID",
  app = "你的服务主体ID",
  password = "你的服务主体密钥"
)
vault <- key_vault("https://mykeyvault.vault.azure.net", token = auth)

额外排查技巧 #

• 查看Databricks集群的驱动日志，定位认证失败的具体错误（比如「权限不足」「连接超时」）
• 在Databricks终端里用Azure CLI测试，确认集群能访问Key Vault：

az keyvault secret list --name mykeyvault

内容的提问来源于stack exchange，提问作者Mahesh