Azure Data Factory调用SOAP API时如何正确引用secret凭据

可行性结论 #

该场景ADF原生支持，不存在产品层面的功能限制，替换密钥引用后连接失败基本都是配置方式错误导致，按照下面的步骤调整即可正常运行。

常见踩坑点先排查 #

• 不要直接在自定义请求体、URL参数里硬写@Microsoft.KeyVault(SecretUri=xxxx)格式的引用，这个语法仅在链接服务配置的专用AKV引用入口生效，写在其他位置会被当作普通字符串传给接口，直接导致认证失败。
• 不要把SOAP体里的账号密码配到HTTP链接服务的标准认证栏（比如Basic Auth、Bearer Token位置），你这个接口的账号密码是放在SOAP信封的XML节点里（对应SoapUI里看到的arg0、arg1节点），走的不是HTTP标准认证逻辑，配错位置会多传无效认证头，反而触发接口报错。
• 不要漏配Content-Type: text/xml;charset=UTF-8请求头，用默认的application/json的话SOAP服务端根本解析不了XML请求体，也会返回认证类错误。

正确配置步骤 #

1. 先配通AKV权限
   给ADF使用的托管标识（系统分配/用户分配均可）授予目标Azure Key Vault的**机密获取（Get Secret）**权限，注意是机密（Secret）权限，不是密钥、证书权限。配置完可以在ADF【管理】-【凭据】页测试连通性，确保能正常读取你存储的用户名、密码两个机密值，先排除权限问题。
2. 配置基础HTTP链接服务
   新建/修改原有调用SOAP的HTTP链接服务，基础地址填SOAP服务的访问地址，认证类型选匿名，不要在这个页面填任何账号密码信息，配置完测试基础连通性正常即可。
3. 复制活动源侧动态拼装带密钥引用的SOAP请求体
   进入复制活动的【源】配置页，找到请求正文配置项，切换到动态内容模式，按照你在SoapUI里调试正常的SOAP信封结构拼装内容，账号密码位置通过动态表达式引用AKV中存储的机密值，示例结构如下：

   <soapenv:Envelope xmlns:soapenv="http://schemas.xmlsoap.org/soap/envelope/" xmlns:web="你的SOAP服务命名空间">
      <soapenv:Header/>
      <soapenv:Body>
         <web:你的接口调用方法名>
            <arg0>@{linkedService().UsernameSecret}</arg0>
            <arg1>@{xml(linkedService().PasswordSecret)}</arg1>
            <!-- 其余原有附加参数按照明文调试正常的结构保留即可 -->
         </web:你的接口调用方法名>
      </soapenv:Body>
   </soapenv:Envelope>
   

   注意点：
   • 上面表达式里的UsernameSecret、PasswordSecret是你在HTTP链接服务里新增的两个参数，参数值来源选择「Azure Key Vault中的机密」，分别绑定你提前存好的用户名、密码机密即可，不要选固定值。
   • 密码参数外层套xml()函数是为了自动转义密码里可能存在的<、&、>这类XML特殊字符，避免破坏SOAP的XML结构导致服务端解析失败。
4. 校验配置
   配置完先做调试运行，如果还是报错，可以开启复制活动的请求日志，把实际发出的请求体落盘到关联的存储账户，检查arg0、arg1节点的值是否正确，有没有多余的引号、转义错误即可。

可选优化方案 #

如果后续SOAP接口参数调整频繁，可以不用通用HTTP连接器，改用ADF原生的SOAP专用连接器，该连接器原生支持在SOAP头、请求体节点直接绑定AKV机密引用，不需要手动处理XML转义，配置成本更低。

内容的提问来源于stack exchange，提问作者David