使用用户分配托管标识的Azure Function本地访问Key Vault正常部署Azure后失败

1. 修正代码拼写错误 #

你当前代码存在变量拼写错误，定义Key Vault URI变量时使用azureKeyVaultURI，实例化SecretClient时误写为azureKeuVaultURI，错误的URI会直接触发400 Bad Request报错，优先修正该问题。
同时代码存在两处可优化点：

• 重复定义secret变量，会触发编译冲突，需要删除冗余的string secret = String.Empty;声明
• 异步函数中不要调用同步GetSecret方法，改为异步GetSecretAsync避免线程阻塞

2. 显式指定用户分配托管标识 #

无参构造的DefaultAzureCredential()默认不会自动选用用户分配托管标识，需要显式传入托管标识的客户端ID：

• 先在用户分配托管标识的概览页复制该标识的客户端ID
• 将客户端ID和Key Vault URI存入Azure Function的「配置>应用程序设置」中，不要硬编码
• 调整DefaultAzureCredential构造逻辑，示例如下：

// 从应用配置读取参数
string keyVaultUri = Environment.GetEnvironmentVariable("KEY_VAULT_URI");
string miClientId = Environment.GetEnvironmentVariable("MANAGED_IDENTITY_CLIENT_ID");

var credential = new DefaultAzureCredential(new DefaultAzureCredentialOptions
{
    ManagedIdentityClientId = miClientId
});
var client = new SecretClient(new Uri(keyVaultUri), credential);

3. 修正Key Vault权限配置 #

你为托管标识分配的Key Vault Contributor属于ARM管理平面角色，仅支持修改Key Vault的基础配置，不具备读取密钥的数据平面权限：

• 若Key Vault使用保管库访问策略权限模型：在Key Vault的「访问策略」页面，为托管标识添加**机密获取（Get）**权限并保存
• 若Key Vault使用Azure RBAC权限模型：在Key Vault的「访问控制(IAM)」页面，为托管标识分配Key Vault Secrets User角色

4. 排查网络访问限制 #

如果Key Vault开启了防火墙限制，需进行以下配置之一：

• 将Azure Function的所有出站IP添加到Key Vault的防火墙允许列表
• 开启Key Vault的「允许受信任的Azure服务绕过防火墙」选项

修正后的完整代码示例：

public static class TestManagedIdentity
{
    [FunctionName("Function1")]
    public static async Task<IActionResult> Run(
        [HttpTrigger(AuthorizationLevel.Function, "post", Route = null)] HttpRequest req,
        ILogger log)
    {
        log.LogInformation("C# HTTP trigger function processed a request.");
        string requestBody = await new StreamReader(req.Body).ReadToEndAsync();
        dynamic data = JsonConvert.DeserializeObject(requestBody);
        string secretName = data.SecretName;

        string azureKeyVaultURI = Environment.GetEnvironmentVariable("KEY_VAULT_URI");
        string managedIdentityClientId = Environment.GetEnvironmentVariable("MANAGED_IDENTITY_CLIENT_ID");
        
        var client = new SecretClient(new Uri(azureKeyVaultURI), 
            new DefaultAzureCredential(new DefaultAzureCredentialOptions 
            { 
                ManagedIdentityClientId = managedIdentityClientId 
            }));

        var secret = await client.GetSecretAsync(secretName);
        log.LogInformation($"My secret value is {secret.Value.Value}");

        return new OkObjectResult("Success!");
    }
}

内容的提问来源于stack exchange，提问作者slyp93