如何关联Azure DevOps Library与KeyVault？同步权限问题求助

• 先等权限生效
  KeyVault的权限变更不是即时生效的，最多可能延迟15分钟，别刚加完权限就立刻测试，等一会儿再试。

• 核对权限配置细节

  • 用KeyVault访问策略的话：确认是给目标SPN的应用程序ID加的权限，而且选的是「机密」分类下的Get和List，别选错成密钥或证书的权限，也别给错了身份（比如给成了用户而非SPN）。
  • 用Azure RBAC的话：直接给SPN分配「Key Vault Secrets User」角色就行，这个角色刚好包含机密的Get、List权限，比给所有者权限更合适，也能避免权限冗余。

• 检查服务连接器的身份匹配

  • 确认服务连接器里绑定的SPN，和你配置权限的SPN是同一个，别把不同的SPN搞混了（比如之前创建的旧SPN和新SPN搞混）。
  • 查一下SPN的客户端密钥或证书有没有过期，过期的话重新生成凭据，再更新服务连接器的配置。

• 确认同步的变量规则

  • Azure Library里的变量名称必须和KeyVault的机密名称完全匹配（KeyVault机密名不区分大小写，但要注意有没有空格、特殊字符的差异）。
  • 要同步的必须是「机密」类型的Library变量，普通的配置变量没法和KeyVault机密同步。

• 查日志找具体错误

  • 去KeyVault的「日志」（得先开诊断设置）里搜这个SPN的操作记录，看有没有403权限拒、404找不到机密这类错误，能直接定位问题。
  • 看服务连接器的「监控」-「操作日志」，里面会有同步失败的具体报错，比如身份验证失败、网络不通之类的。

• 排查KeyVault防火墙限制

  • 如果KeyVault开了防火墙，得确保服务连接器所在的资源（比如App Service、VM）在KeyVault的允许访问列表里，或者开启「允许受信任的Microsoft服务访问」选项，不然连都连不上KeyVault，同步肯定失败。

内容的提问来源于stack exchange，提问作者Kike