Azure Functions部署后从Azure Key Vault读取连接字符串失败求助

Azure Functions并非只能从应用设置读取连接字符串，你遇到的部署后报错问题主要源于两个原因：代码中同步阻塞异步方法引发死锁，以及缺少必要的权限配置。下面是具体解决方法，优先推荐官方原生集成方案，更简单可靠。

一、优先推荐：使用Azure Functions原生Key Vault集成（无需自定义代码） #

这种方式让你像读取普通应用设置一样读取Key Vault机密，无需自己编写Key Vault客户端逻辑：

1. 为Azure Functions启用系统分配托管身份

   • 进入Azure Functions门户页面，找到「身份」选项卡，切换到「系统分配」标签，设置状态为「开启」，保存后会生成一个托管身份。

2. 为托管身份配置Key Vault访问权限

   • 进入你的Key Vault门户页面，找到「访问策略」选项卡，点击「添加访问策略」：
     • 权限选择「机密权限」下的「读取」；
     • 主体选择刚才为Functions创建的系统分配托管身份；
     • 保存访问策略。

3. 在应用设置中添加Key Vault引用

   • 回到Azure Functions的「配置」选项卡，添加新的应用设置，比如键名为SQL:ConnectionString，值使用以下格式之一：
     • 使用机密URI：@Microsoft.KeyVault(SecretUri=https://somesecreturl.azure.net/secrets/mysecretkeyname/)
     • 使用Vault名称和机密名：@Microsoft.KeyVault(VaultName=somesecreturl;SecretName=mysecretkeyname)
   • 保存应用设置，系统会自动验证并关联Key Vault机密。

4. 代码中直接读取
   保持代码和读取普通应用设置一致即可：

   var configuration = Environment.GetEnvironmentVariable("SQL:ConnectionString");
   

二、如果坚持自定义Key Vault客户端代码 #

需要解决异步调用死锁和权限配置问题：

1. 修复异步调用死锁问题 #

你的代码中使用Task.Run(...).Result同步阻塞异步方法，在Functions宿主环境中容易引发线程死锁，导致宿主无法启动。修改为异步方法并正确处理：

修正后的AzureKeyVault类

public class AzureKeyVault
{
    public static async Task<string> GetSecretKeyAsync()
    {
        var azureServiceTokenProvider = new AzureServiceTokenProvider();
        var keyVaultClient = new KeyVaultClient(new KeyVaultClient.AuthenticationCallback(azureServiceTokenProvider.KeyVaultTokenCallback));
        var secret = await keyVaultClient.GetSecretAsync("https://somesecreturl.azure.net/", "mysecretkeyname");
        return secret.Value;
    }
}

修正后的Startup.cs

public override void Configure(IFunctionsHostBuilder builder)
{
    builder.Services.AddHttpClient();

    // 异步获取机密并注册为单例服务
    builder.Services.AddSingleton(async _ => await AzureKeyVault.GetSecretKeyAsync());

    // 从服务中获取机密并传入Module.Load
    var connectionStringTask = builder.Services.BuildServiceProvider().GetRequiredService<Task<string>>();
    connectionStringTask.Wait(); // 仅在无法修改Module.Load为异步时使用，优先推荐原生集成
    Server.Module.Load(builder.Services, connectionStringTask.Result);
}

2. 配置权限 #

同样需要完成「一、优先推荐」中的步骤1和步骤2，确保Functions的托管身份拥有Key Vault的机密读取权限。

三、部署报错原因说明 #

• 权限不足：Azure Functions的运行身份没有Key Vault的读取权限，导致获取机密失败，进而引发宿主启动错误。
• 异步同步死锁：Task.Run(...).Result会阻塞当前线程，在Functions宿主的同步上下文环境中容易导致线程死锁，使宿主无法正常启动。

内容的提问来源于stack exchange，提问作者CodeLearner