.NET Core 2.1创建Azure KeyVault后List权限警告问题求助

我来帮你一步步捋清楚这个问题，从权限配置、ObjectID选择到编程获取服务主体ID，逐个破解：

1. 为什么设置了"all"权限还会出现List警告？ #

理论上，Azure Key Vault的"all"权限已经包含了"list"操作，但偶尔会出现门户UI检测不识别或者权限缓存延迟的情况。你可以尝试两种方式解决：

• 显式添加"list"权限：虽然"all"涵盖了它，但有时候门户的校验逻辑需要明确声明，比如把权限改成：

  Permissions = new Permissions {
      Secrets = new List<string> { "all", "list" },
      Keys = new List<string> { "all", "list" },
      Certificates = new List<string> { "all", "list" }
  }
  

• 等待权限缓存刷新：Azure Key Vault的权限变更有时候需要5-10分钟才能完全同步到门户，你可以稍等一段时间再刷新页面看看警告是否消失。

2. AccessPolicyEntry里到底该用哪个ObjectID？ #

这里一定要搞清楚两个ID的核心区别：

• Client ID：是你在Azure AD中注册应用时生成的全局唯一标识符，用来标识你的应用程序本身。
• 服务主体Object ID：是应用在你的租户中对应的服务主体对象的唯一ID，每个租户里的服务主体ObjectID都是独立的。

AccessPolicyEntry必须使用服务主体的Object ID，而不是应用的Client ID！你之前用PowerShell获取的方向是对的，但可能存在以下问题导致没生效：

• 你获取的服务主体ID和当前操作的租户不匹配（比如误用了其他租户的服务主体ID）。
• 创建KeyVault时，服务主体还没完全同步到Azure AD，导致权限绑定未生效。

3. 如何通过.NET Core编程方式获取服务主体ID？ #

你可以用两种主流方式来实现，适配.NET Core 2.1的版本：

方式一：使用Azure Graph RBAC管理客户端 #

首先安装对应NuGet包：

Install-Package Microsoft.Azure.Management.Graph.RBAC.Fluent

然后编写代码：

using Microsoft.Azure.Management.Graph.RBAC.Fluent;
using Microsoft.Rest.Azure.Authentication;
using System.Linq;

// 替换成你的实际参数
string tenantId = "你的租户ID";
string clientId = "你的应用Client ID";
string clientSecret = "你的应用客户端密钥";

// 初始化Graph RBAC客户端
var credentials = ApplicationTokenProvider.LoginSilentAsync(tenantId, clientId, clientSecret).GetAwaiter().GetResult();
var graphRbacClient = new GraphRbacManagementClient(credentials) { TenantID = tenantId };

// 根据应用Client ID查询对应服务主体
var servicePrincipals = graphRbacClient.ServicePrincipals.ListAsync(filter: $"appId eq '{clientId}'").GetAwaiter().GetResult();
var targetSp = servicePrincipals.FirstOrDefault();

if (targetSp != null)
{
    string servicePrincipalObjectId = targetSp.Id;
    // 这个ID就是你要用到AccessPolicyEntry里的ObjectId
}

方式二：使用Microsoft Graph API #

先安装适配.NET Core 2.1的Microsoft Graph SDK包：

Install-Package Microsoft.Graph -Version 1.28.0
Install-Package Microsoft.Identity.Client -Version 4.16.1

然后编写代码：

using Microsoft.Graph;
using Microsoft.Identity.Client;
using System.Linq;
using System.Threading.Tasks;

public async Task<string> GetServicePrincipalObjectId()
{
    // 替换成你的实际参数
    string tenantId = "你的租户ID";
    string clientId = "你的应用Client ID";
    string clientSecret = "你的应用客户端密钥";

    // 初始化MSAL客户端
    var confidentialClient = ConfidentialClientApplicationBuilder
        .Create(clientId)
        .WithClientSecret(clientSecret)
        .WithTenantId(tenantId)
        .Build();

    // 获取Graph API的访问令牌
    var authResult = await confidentialClient.AcquireTokenForClient(new[] { "https://graph.microsoft.com/.default" })
        .ExecuteAsync();

    // 初始化Graph客户端
    var graphClient = new GraphServiceClient(new DelegateAuthenticationProvider(request =>
    {
        request.Headers.Authorization = new System.Net.Http.Headers.AuthenticationHeaderValue("Bearer", authResult.AccessToken);
        return Task.CompletedTask;
    }));

    // 查询对应服务主体
    var spList = await graphClient.ServicePrincipals
        .Request()
        .Filter($"appId eq '{clientId}'")
        .GetAsync();

    return spList.FirstOrDefault()?.Id;
}

注意：使用Microsoft Graph API时，需要给你的应用注册添加Directory.Read.All的应用权限，并获取管理员同意，否则会没有查询服务主体的权限。

内容的提问来源于stack exchange，提问作者Harish Shisode