如何在Azure Function App配置中直接引用App Configuration值？

问题概述 #

从AWS背景迁移，希望复刻Lambda通过环境变量直接引用App Config/Secrets Manager的流程：

• .NET代码仅读取ENV_VAR环境变量
• Function App的环境变量值为App Configuration的引用格式
• 系统自动拉取对应值，无需修改代码

此前尝试微软预览版的「App Configuration引用」方案，出现两个问题：

1. 环境变量直接返回引用字符串（如@Microsoft.AppConfiguration(Endpoint=https://<my app config name>.azconfig.io; Key=EventGrid:Key:EVENTGRID_KEY)）未被解析
2. 触发Base64格式错误：

The input is not a valid Base-64 string as it contains a non-base 64 character, more than two padding characters, or an illegal character among the padding characters.

以及后续的授权错误（因未拿到正确密钥）

不想修改代码的原因：

• 应用仅需依赖环境变量，无改动必要
• 部分Function App必填环境变量（如website_contentazurefileconnectionstring）包含敏感信息，需集中管控、严格权限

解决方案（纯Terraform配置） #

1. 注册App Configuration引用功能（若未启用） #

该功能目前为预览状态，需先在订阅中注册：

resource "azurerm_feature" "app_config_references" {
  name       = "AppConfigurationReferences"
  namespace  = "Microsoft.Web"
}

# 等待功能注册完成后，重新注册Web资源提供者
resource "azurerm_resource_provider_registration" "web" {
  name = "Microsoft.Web"
  depends_on = [azurerm_feature.app_config_references]
}

2. 配置Function App的系统托管标识 #

通过托管标识授予Function App访问App Configuration的权限，无需硬编码密钥：

resource "azurerm_function_app" "your_function_app" {
  name                       = "your-function-app-name"
  resource_group_name        = azurerm_resource_group.your_rg.name
  location                   = azurerm_resource_group.your_rg.location
  app_service_plan_id        = azurerm_app_service_plan.your_plan.id
  storage_account_name       = azurerm_storage_account.your_storage.name
  storage_account_access_key = azurerm_storage_account.your_storage.primary_access_key

  # 启用系统分配托管标识
  identity {
    type = "SystemAssigned"
  }

  app_settings = {
    # 启用App Configuration引用解析
    "AzureAppConfigurationEnabled" = "true"

    # 配置环境变量为App Configuration引用格式
    "ENV_VAR" = "@Microsoft.AppConfiguration(Endpoint=https://your-app-config.azconfig.io; Key=EventGrid:Key:EVENTGRID_KEY)"
    
    # 敏感内部配置也可引用App Configuration中的值
    "website_contentazurefileconnectionstring" = "@Microsoft.AppConfiguration(Endpoint=https://your-app-config.azconfig.io; Key=Storage:ConnectionStrings:ContentAzureFile)"
  }
}

3. 为托管标识分配App Configuration数据读取权限 #

确保Function App有权限读取App Configuration中的值：

data "azurerm_app_configuration" "your_app_config" {
  name                = "your-app-config-name"
  resource_group_name = azurerm_resource_group.your_rg.name
}

resource "azurerm_role_assignment" "function_app_app_config_reader" {
  scope                = data.azurerm_app_configuration.your_app_config.id
  role_definition_name = "App Configuration Data Reader"
  principal_id         = azurerm_function_app.your_function_app.identity[0].principal_id
}

错误原因及修复说明 #

• 引用未解析：未启用AzureAppConfigurationEnabled配置、托管标识权限不足，或未注册预览功能，导致Function App未触发引用解析逻辑。
• Base64格式错误：未解析的引用字符串包含非Base64字符，被Azure服务（如存储服务）当成连接字符串尝试解码，解析完成后返回正确的原始值即可解决。

内容的提问来源于stack exchange，提问作者Jake Boomgaarden