如何为Azure Functions配置MassTransit以使用托管身份访问Azure Service Bus？

安全阿岳

2026-8-5

问题描述

在Azure Functions（v4，.NET6）环境中使用MassTransit.WebJobs.ServiceBus 8.0.7时，配置了以下代码：

启动代码：

builder.Services.AddScoped<ExampleConsumer>()
                .AddMassTransitForAzureFunctions(cfg =>
                {
                    cfg.AddConsumersFromNamespaceContaining<ConsumerNamespace>();
                }, "AzureWebJobsServiceBus");

配置信息：

AzureWebJobsServiceBus__fullyQualifiedNamespace:  <service_bus_name>.servicebus.windows.net

函数签名：

public Task Run([ServiceBusTrigger(<topic_name>, <subscription_name>, Connection = "AzureWebJobsServiceBus")] string message, FunctionContext context)

运行时抛出异常：

System.ArgumentNullException: A connection string must be used for Azure Functions. (Parameter 'AzureWebJobsServiceBus')

查看MassTransit源码发现，它要求连接字符串必须包含SharedAccessKeyName和SharedAccessKey，否则会触发上述异常。需要了解如何正确配置MassTransit，使Azure Functions通过托管身份连接Azure Service Bus，是否存在其他可行的配置方式？

解决方案

要让MassTransit在Azure Functions中通过托管身份连接Service Bus，需绕过其对连接字符串的强制校验，改用Azure SDK的托管身份认证方式，具体操作如下：

修改启动配置代码
放弃简化的AddMassTransitForAzureFunctions重载，手动配置Service Bus客户端工厂，使用托管身份创建客户端实例：

builder.Services.AddScoped<ExampleConsumer>()
                .AddMassTransitForAzureFunctions(cfg =>
                {
                    cfg.AddConsumersFromNamespaceContaining<ConsumerNamespace>();
                })
                .Configure<MassTransitHostOptions>(options =>
                {
                    options.WaitUntilStarted = true;
                })
                .AddSingleton<IServiceBusClientFactory>(provider =>
                {
                    var configuration = provider.GetRequiredService<IConfiguration>();
                    var fullyQualifiedNamespace = configuration["AzureWebJobsServiceBus__fullyQualifiedNamespace"];
                    
                    return new DefaultServiceBusClientFactory(
                        new ServiceBusClient(fullyQualifiedNamespace, new DefaultAzureCredential()));
                });

配置项保持现有设置
仅保留Service Bus命名空间的配置，无需提供包含密钥的完整连接字符串：
```
AzureWebJobsServiceBus__fullyQualifiedNamespace:  <service_bus_name>.servicebus.windows.net
```
函数签名无需调整
原ServiceBusTrigger的Connection参数仍指向AzureWebJobsServiceBus，Azure Functions会自动通过托管身份解析该配置：
```
public Task Run([ServiceBusTrigger(<topic_name>, <subscription_name>, Connection = "AzureWebJobsServiceBus")] string message, FunctionContext context)
```
配置托管身份权限
确保Azure Functions的托管身份（系统分配或用户分配类型）拥有Azure Service Bus的必要权限：
- 针对消息消费场景，至少需要分配Azure Service Bus Data Receiver和Azure Service Bus Data Reader角色

内容的提问来源于stack exchange，提问作者rksajib