ARM/Bicep模板中Deployment Script访问KeyVault权限错误求助

首先看你代码里的一个明显疑点：托管标识的资源ID写错了。你在userAssignedIdentities里填的是my-vault-name，这看起来是KeyVault的名称，不是用户分配托管标识的名称。Deployment Script关联了错误的标识，自然没有访问KeyVault的权限，这是最常见的原因。请确认托管标识的正确资源ID，替换掉当前的错误值。

除此之外，还有以下排查方向：

• RBAC权限生效延迟：Azure RBAC角色分配通常需要5-15分钟才能同步生效，如果刚分配完角色就立刻部署，可能权限还没到位，等一段时间再试。
• KeyVault网络防火墙限制：如果KeyVault开启了防火墙，只允许特定IP/VNet访问，Deployment Script的执行环境不在允许列表内会被拒绝（错误提示可能伪装成权限不足）。检查KeyVault的防火墙设置：要么临时允许所有网络测试，要么添加Deployment Script的出站IP，或者开启“允许受信任的Microsoft服务访问此密钥保管库”选项。
• RBAC与访问策略冲突：KeyVault启用RBAC后，访问策略会被完全忽略，你配置的访问策略是无效的，不用再关注。确保角色是直接分配给托管标识，且范围是KeyVault资源或其所在资源组。
• 角色分配范围错误：如果管理员角色是分配到订阅/其他资源组，而KeyVault在另一个资源组，权限不会覆盖到目标KeyVault。要确保角色分配的范围包含目标KeyVault。
• 调试标识有效性：在脚本开头添加调试代码，确认Deployment Script是否正确加载了托管标识：

  # 检查当前上下文的标识
  Get-AzContext
  # 尝试获取KeyVault的访问令牌
  $token = Invoke-WebRequest -Uri 'http://169.254.169.254/metadata/identity/oauth2/token?api-version=2018-02-01&resource=https://vault.azure.net' -Headers @{Metadata="true"} | ConvertFrom-Json
  Write-Output $token.access_token
  

  如果获取不到令牌，说明标识关联有问题；如果能获取到，再检查令牌对应的标识是否有KeyVault权限。

内容的提问来源于stack exchange，提问作者Vivendi