App Service经Azure AD组RBAC访问Key Vault密钥提示无权限

首先明确：Key Vault的RBAC权限模型完全支持通过Azure AD组给App Service托管标识授权，不存在模式不兼容的问题。你遇到的故障基本是以下几个高频配置错误导致，按出现概率排序：

• 未将Web应用的系统分配托管标识加入授权组
  这是90%以上同类问题的原因：你只完成了「给AAD组分配Key Vault Secrets Officer角色」的步骤，但没有把对应Web App的系统分配托管标识（本质是AAD目录中的服务主体对象）加入这个组。你把个人账号加入组后能正常访问Key Vault，只能证明组的角色配置本身有效，不代表托管标识在组成员列表内。
  注意：Azure门户给AAD组添加成员时，默认的对象筛选器只选了「用户」，直接搜托管标识的名字根本搜不到，必须手动把筛选条件切到「服务主体」分类，才能找到对应Web App的托管标识完成添加。
• 组类型不符合授权要求
  如果你建的是Microsoft 365组、从本地AD通过AD Connect同步上来的安全组，会出现服务主体（托管标识）无法通过组成员身份正常继承RBAC权限的问题。给Azure资源做RBAC授权必须使用云环境原生创建的安全组。
• 混淆了控制平面和数据平面角色
  App Service身份页里的「Azure role assignments」视图，默认会展示所有层级（管理组、订阅、资源组、单个资源）分配给该托管标识的ARM控制平面角色，比如Key Vault Contributor——这个角色只能用来管理Key Vault的配置、删除Key Vault这类控制平面操作，完全没有读取密钥内容的数据平面权限。你看到的角色分配记录如果是这类控制平面角色，哪怕显示正常，也读不到密钥。
• Key Vault防火墙拦截请求
  如果你开了Key Vault的公网访问限制，又没勾选「允许受信任的Microsoft服务绕过此防火墙」，哪怕权限全对，App Service的Key Vault引用功能也会拉取失败。你用个人账号能正常访问，大概率是你自己的客户端公网IP在Key Vault的允许列表里，不代表App Service的出口IP在允许范围内。

按这个顺序走10分钟就能定位问题：

1. 进对应AAD组的成员页，把对象类型筛选器切到「服务主体」，确认目标Web App的系统分配托管标识确实在成员列表里
2. 检查组属性，确认组类型是「安全」、创建来源是「云」，不是同步组、Microsoft 365组
3. 进Key Vault的访问控制（IAM）页，在角色分配列表里找到Key Vault Secrets Officer的条目，确认分配对象是你用的AAD组，作用域覆盖当前Key Vault
4. 临时给这个系统分配托管标识直接分配Key Vault Secrets User角色（仅密钥读取权限，比Secrets Officer权限更窄），等10分钟刷新应用设置页，如果这时候能正常读密钥，就彻底排除RBAC模式本身的问题，100%是组配置或者组成员添加的问题
5. 检查Key Vault网络配置，确认已开启受信任Microsoft服务绕过规则

补充：Key Vault的RBAC权限同步延迟通常不超过15分钟，你已经等了3小时，完全不需要反复重启应用，重启对权限同步没有任何加速作用。

内容的提问来源于stack exchange，提问作者mr3k