Azure Batch池通过Python托管身份认证访问Key Vault的问题

首先明确：系统分配托管身份完全可以实现这个场景，不需要依赖证书，你的问题出在Batch池的身份配置和SDK的正确使用上，我来一步步帮你排查解决：

先理清楚核心前提（你可能漏了关键一步） #

你已经给Batch账户启用了系统托管身份并加到了Key Vault访问策略，但Batch池本身也需要配置托管身份才能让节点使用这个身份——节点不会自动继承账户的身份，必须在池层面明确配置：

• 选项1：给Batch池启用自己的系统分配托管身份，然后把这个池的身份添加到Key Vault的访问策略（授予Get秘密的权限）
• 选项2：让Batch池复用Batch账户的系统托管身份，这时候需要在池的身份配置中，把Batch账户的资源ID作为「用户分配身份」添加进去，然后确保账户的身份已经在Key Vault访问策略里有对应权限

另外要注意：池创建后，节点启动需要几分钟完成身份配置，不要马上运行代码测试。

针对旧版azure-keyvault（1.1.0）的问题 #

旧版SDK的MSIAuthentication在Batch节点上运行时，可能需要显式指定MSI的元数据端点，否则会出现HTTP请求错误。调整代码如下：

from azure.keyvault import KeyVaultClient
from msrestazure.azure_active_directory import MSIAuthentication

# 显式指定Batch节点的MSI元数据端点
credentials = MSIAuthentication(
    resource='https://vault.azure.net',
    msi_endpoint="http://169.254.169.254/metadata/identity/oauth2/token"
)
kvclient = KeyVaultClient(credentials)
# 第三个参数是版本号，留空表示获取最新版本
res = kvclient.get_secret("https://kv.vault.azure.net/", "secret", "").value

不过旧版SDK已经被官方弃用，强烈建议切换到新版。

针对新版azure-keyvault（4.0+）的问题 #

首先要确认你安装了正确的依赖包：

pip install azure-keyvault-secrets azure-identity

错误提示「No identity has been assigned to this resource」，本质就是节点上没有可用的托管身份，解决池的身份配置后，用以下正确代码即可：

from azure.keyvault.secrets import SecretClient
from azure.identity import ManagedIdentityCredential

# 系统分配托管身份不需要指定client_id，SDK会自动获取节点上的身份信息
credential = ManagedIdentityCredential()
client = SecretClient(vault_url="https://kv.vault.azure.net/", credential=credential)
secret = client.get_secret("secret")
print(secret.value)

额外检查项 #

1. Key Vault的访问策略：确保给目标托管身份分配了秘密权限（至少勾选「Get」），不要只添加身份却不配置权限
2. 网络配置：如果Key Vault启用了防火墙，要确保Batch节点的IP在允许范围内，或者开启「允许Azure服务访问Key Vault」的选项
3. 节点初始化：池创建后等待5-10分钟，让节点完成身份配置再运行测试代码

内容的提问来源于stack exchange，提问作者J Spen