本地开发环境用Azure.Identity连接Service Bus及存储队列遇认证错误

针对你遇到的"声明为空或令牌无效"以及"服务器未能验证请求"错误，核心问题是**DefaultAzureCredential没有获取到有效的、拥有Service Bus权限的身份凭据**，以下是分场景的排查和解决步骤：

本地开发环境 #

• 确保本地已登录正确的Azure账户：
  打开Azure CLI执行命令：

  az login
  

  登录后检查当前账户是否对目标Service Bus命名空间拥有权限——需要至少分配Azure Service Bus Data Sender（仅发送）或Azure Service Bus Data Owner（全权限）角色。
• 若使用Visual Studio/VS Code开发，确认工具已关联有权限的Azure账户：
  VS Code可通过Azure扩展切换账户，Visual Studio可在「工具>选项>Azure服务身份验证」中确认登录账户。

托管环境（App Service、虚拟机、AKS等） #

• 确认已启用托管标识：
  比如在App Service中，进入「身份」选项卡启用系统分配或用户分配的托管标识。
• 给托管标识分配Service Bus权限：
  在Azure门户的Service Bus命名空间「访问控制(IAM)」中，添加角色分配，将Azure Service Bus Data Sender或Owner角色分配给对应的托管标识。

额外排查技巧 #

• 临时用连接字符串验证服务可用性：
  替换代码为使用连接字符串创建客户端，若能正常发送消息，说明Service Bus服务本身正常，问题完全出在身份验证凭据上：

  ServiceBusClient sbClient = new ServiceBusClient("你的Service Bus连接字符串");
  

• 限制DefaultAzureCredential的身份源：
  若环境中存在多个可能的身份源（比如环境变量、托管标识、本地账户），可以通过DefaultAzureCredentialOptions指定仅使用需要的源，避免误用无效凭据：

  var options = new DefaultAzureCredentialOptions
  {
      ExcludeEnvironmentCredential = true,
      ExcludeVisualStudioCredential = true,
      // 根据你的环境保留需要的凭据源，比如本地开发保留ExcludeAzureCliCredential=false
  };
  ServiceBusClient sbClient = new ServiceBusClient("xxxx.servicebus.windows.net", new DefaultAzureCredential(options));
  

内容的提问来源于stack exchange，提问作者AJames