Linux Python Azure Function无法解析KeyVault引用问题求助

问题现状 #

• Linux Python Azure Function配置KeyVault密钥引用（格式为@Microsoft.KeyVault(...)）后，运行时未解析该引用，直接输出字面量文本，而非预期的密钥内容
• 已确认前置条件：系统标识已启用、标识拥有KeyVault完全访问权限、密钥已正确映射到函数配置项
• 切换至高级计划后，密钥引用可正常解析

针对性解决建议 #

1. 检查消费计划的Python运行时版本 #

• 确保使用官方支持的最新稳定版Python（如3.8及以上），部分旧版运行时存在KeyVault引用解析的兼容性问题
• 可通过函数应用配置页或requirements.txt指定明确的运行时版本

2. 验证KeyVault引用格式正确性 #

• 严格遵循Azure官方格式规范，避免多余空格或全角符号：
  • 基于Secret URI格式：@Microsoft.KeyVault(SecretUri=https://<你的KV名称>.vault.azure.net/secrets/<密钥名称>/<版本号>)
  • 基于Vault名称和密钥名称格式：@Microsoft.KeyVault(VaultName=<你的KV名称>;SecretName=<密钥名称>;SecretVersion=<版本号>)

3. 触发配置缓存刷新 #

• 消费计划的Linux函数可能存在配置缓存延迟，可尝试：
  • 在Azure门户重启函数应用
  • 进入函数应用配置页，重新保存KeyVault引用配置项（无需修改内容，仅触发刷新）

4. 确认代码读取配置的方式 #

• 使用官方推荐的环境变量读取方式，确保未直接读取原始字符串：

  import os
  from azure.functions import HttpRequest, HttpResponse
  
  def main(req: HttpRequest) -> HttpResponse:
      secret_value = os.environ.get("你的配置项名称")
      return HttpResponse(f"Secret content: {secret_value}")
  

5. 临时替代方案：手动调用Key Vault SDK #

• 若上述方法无效，可绕过配置引用，直接通过系统标识调用SDK获取密钥：

  import os
  from azure.identity import DefaultAzureCredential
  from azure.keyvault.secrets import SecretClient
  from azure.functions import HttpRequest, HttpResponse
  
  def main(req: HttpRequest) -> HttpResponse:
      kv_url = "https://<你的KV名称>.vault.azure.net/"
      credential = DefaultAzureCredential()
      client = SecretClient(vault_url=kv_url, credential=credential)
      secret = client.get_secret("<密钥名称>")
      return HttpResponse(f"Secret content: {secret.value}")
  

• 需在requirements.txt添加依赖：

  azure-identity>=1.12.0
  azure-keyvault-secrets>=4.7.0
  

内容的提问来源于stack exchange，提问作者Ryan