Azure KeyVault获取密钥抛出CredentialUnavailableException日志优化问题

我遇到过完全一样的情况——用Azure CLI认证Key Vault正常，但日志里全是那些预期的CredentialUnavailableException，确实很烦人。这里有几个精准的解决办法，既能去掉这些噪音日志，又不会丢失真正关键的调试信息：

办法一：直接指定你要用的Credential类型（最简洁） #

既然你明确是用Azure CLI认证，完全可以跳过DefaultAzureCredential的链式尝试，直接实例化AzureCliCredential。这样就不会触发其他认证方式的失败尝试，自然也就不会产生那些日志了：

修改你的创建客户端方法：

private SecretClient createAzureCliCredential() {
    AzureCliCredential cliCredential = new AzureCliCredentialBuilder().build();
    return new SecretClientBuilder()
        .vaultUrl(keyVaultUri)
        .credential(cliCredential)
        .buildClient();
}

这个方案的优点是简单直接，减少不必要的认证流程开销；缺点是如果以后需要切换到其他认证方式（比如托管身份），你得手动修改代码。

办法二：自定义Logback过滤器过滤预期的异常（保留DefaultAzureCredential的灵活性） #

如果你想保留DefaultAzureCredential的自动适配能力（比如本地用CLI，生产用托管身份），可以写一个自定义Logback过滤器，只过滤那些预期的CredentialUnavailableException，其他异常依然正常记录。

步骤1：实现TurboFilter #

创建一个过滤器类，判断异常类型和消息，只拦截那些我们知道是正常尝试失败的日志：

import ch.qos.logback.classic.Level;
import ch.qos.logback.classic.Logger;
import ch.qos.logback.classic.turbo.TurboFilter;
import ch.qos.logback.core.spi.FilterReply;
import com.azure.identity.CredentialUnavailableException;
import org.slf4j.Marker;

public class AzureCredentialNoiseFilter extends TurboFilter {
    // 这里列出所有我们认为是"正常失败"的异常消息前缀
    private static final String[] EXPECTED_FAILURE_MESSAGES = {
        "EnvironmentCredential authentication unavailable",
        "ManagedIdentityCredential authentication unavailable",
        "SharedTokenCacheCredential authentication unavailable",
        "IntelliJCredential authentication unavailable",
        "VisualStudioCodeCredential authentication unavailable"
        // 注意：不要加AzureCliCredential的消息，因为如果这个失败才是真的问题
    };

    @Override
    public FilterReply decide(Marker marker, Logger logger, Level level, String format, Object[] params, Throwable t) {
        // 只处理CredentialUnavailableException
        if (t instanceof CredentialUnavailableException) {
            String exceptionMsg = t.getMessage();
            if (exceptionMsg != null) {
                // 检查是否是预期的失败消息
                for (String expectedMsg : EXPECTED_FAILURE_MESSAGES) {
                    if (exceptionMsg.startsWith(expectedMsg)) {
                        return FilterReply.DENY; // 过滤这条日志
                    }
                }
            }
        }
        return FilterReply.NEUTRAL; // 其他情况正常记录
    }
}

步骤2：在Logback配置中启用过滤器 #

在你的logback.xml或logback-spring.xml里添加这个过滤器：

<configuration>
    <!-- 加入自定义过滤器 -->
    <turboFilter class="com.your.package.AzureCredentialNoiseFilter" />

    <!-- 你的其他日志配置（appender、logger等） -->
</configuration>

这个方案的优点是保留了DefaultAzureCredential的自动适配能力，同时精准过滤噪音日志；缺点是需要写一点自定义代码。

办法三：调整Azure Identity的日志级别（简单但不够精准） #

如果上面两种办法都不想用，你可以尝试把com.azure.identity的日志级别调整为WARN，这样INFO级别的尝试失败日志会被过滤，但ERROR级别的真正异常依然会被记录：

在Logback配置中添加：

<logger name="com.azure.identity" level="WARN" additivity="false">
    <appender-ref ref="YOUR_APPENDER_NAME" />
</logger>

不过这个方案的缺点是不够精准——可能会过滤掉一些你需要的INFO级调试信息，所以我更推荐前两种办法。

内容的提问来源于stack exchange，提问作者Mihai-Ciprian Ignat