如何在Azure函数应用中引用Key Vault密钥？语法错误排查求助

你的语法错误核心原因很明确：Azure应用设置的Key Vault引用仅支持指向Key Vault中的「机密（Secret）」，但你现在用的是「密钥（Key）」的URI路径。

为什么会报错？ #

Azure Key Vault里的「密钥（Keys）」和「机密（Secrets）」是两个完全不同的资源类型：

• 「密钥」是专门用于加密/解密、签名/验证的加密密钥实体，通过Key Vault的密钥API管理；
• 「机密」是用于存储敏感字符串（比如密码、连接字符串、PEM格式的密钥文本）的资源，是应用设置引用唯一支持的目标。

你写的@Microsoft.KeyVault(SecretUri=https://{thevault-address}.vault.azure.net/keys/{thekey-name}/)用了/keys/路径，这完全不符合应用设置引用的语法规则——系统会认为这是无效的机密URI，所以抛出InvalidSyntax错误。

怎么解决？ #

按以下步骤调整：

1. 将RSA密钥存储为Key Vault机密
   进入你的Key Vault控制台，切换到「机密」页面，创建一个新机密：

   • 把你导出的PEM格式密钥内容（私钥或公钥）粘贴为机密的「值」；
   • 给机密设置一个易识别的名称（比如my-rsa-private-key）。

2. 获取正确的机密URI
   在刚创建的机密详情页，复制「当前版本的机密标识符」（格式类似https://{vault-name}.vault.azure.net/secrets/{secret-name}/{version-hash}），或者不带版本的基础URI（https://{vault-name}.vault.azure.net/secrets/{secret-name}/）。

3. 修正应用设置的引用格式
   把应用设置的值改成指向机密的URI，比如：

   @Microsoft.KeyVault(SecretUri=https://{thevault-address}.vault.azure.net/secrets/{your-secret-name}/)
   

   或者带版本的版本号的格式：

   @Microsoft.KeyVault(SecretUri=https://{thevault-address}.vault.azure.net/secrets/{your-secret-name}/{latest-version-hash})
   

4. 确认权限配置正确
   确保你的Function App托管标识对这个机密拥有Get和List权限（之前你配置的是密钥的权限，需要给机密单独配置权限）。

额外建议 #

如果你的需求是在Python代码中使用这个RSA密钥进行加密/解密操作，其实更推荐直接通过Azure Key Vault SDK（azure-keyvault-keys包）来访问密钥资源，而不是通过应用设置引用——因为应用设置只能把密钥文本作为字符串加载，而专业的加密操作应该通过Key Vault的密钥API来完成，这样更安全且符合最佳实践。

内容的提问来源于stack exchange，提问作者VladS