DevOps部署带系统分配托管标识的Azure函数应用问题咨询

系统分配托管标识完全适配Azure DevOps自动化部署流程，不需要提前手动创建托管标识，你预设的三步部署逻辑完全可以落地，核心是要在流水线中按顺序编排对应操作，动态获取系统分配标识自动生成的主体ID来配置权限即可。

你预设的三步流程不需要调整，每一步都可以通过流水线内置任务自动化完成：

• 第一步：部署Function App基础资源
  无论你使用Bicep/ARM/Terraform这类IaC模板，还是Azure CLI/PowerShell脚本部署函数应用，初始部署阶段只需要把运行时、关联存储、绑定配置等基础项配置正确即可，不需要提前处理托管标识相关配置。
• 第二步：启用系统分配托管标识
  这一步不需要人工介入，直接通过流水线任务触发平台开启即可：
  • 用IaC部署的场景：直接在Function App资源的identity配置块中设置type = 'SystemAssigned'，部署完成后平台会自动生成绑定到该函数应用的托管标识，模板可以直接输出标识对应的principalId供后续步骤调用。
  • 用Azure CLI部署的场景：在应用部署完成后执行命令az functionapp identity assign -n <函数应用名称> -g <所在资源组名称>，命令返回结果中会直接携带托管标识的principalId，可以直接将该值设置为流水线变量传递给后续步骤。
    注意：这一步执行完成后建议加10-20秒的等待节点，平台侧托管标识的元数据同步存在短延迟，立刻配置Key Vault权限偶尔会出现主体不存在的报错。
• 第三步：为托管标识授予Key Vault访问权限
  拿到上一步输出的principalId后，直接在流水线中完成权限配置即可：
  • 如果你的Key Vault使用经典访问策略模式：执行CLI命令az keyvault set-policy -n <Key Vault名称> -g <资源组名称> --object-id <托管标识principalId> --secret-permissions get list，具体权限范围根据你的业务需求调整即可，遵循最小权限原则。
  • 如果你的Key Vault使用Azure RBAC权限模式：直接给该principalId分配Key Vault Secrets User这类符合需求的内置/自定义角色即可，支持通过CLI或IaC完成配置。

• 不要硬编码托管标识的principalId：系统分配托管标识和Function App生命周期完全绑定，一旦删除重建函数应用，对应的托管标识会被平台自动销毁重建，principalId也会同步变化，必须每次部署时动态获取。
• 提前确认流水线使用的服务主体权限：要确保流水线身份拥有开启函数应用托管标识、修改Key Vault访问策略/RBAC配置的权限，否则会出现权限不足的部署错误。
• 如果你的函数应用配置了从Key Vault拉取应用设置的引用，要确保Key Vault权限配置完成后再重启或触发函数应用的配置同步，否则会因为拉不到密钥值导致应用启动失败。

内容的提问来源于stack exchange，提问作者wilson_smyth