Service Fabric配置Managed Identity后本地集群无法部署问题咨询

以下是可落地的三种适配方案，按实施成本和可维护性从优到劣排序：

方案1：使用发布配置的参数化替换（最推荐） #

Service Fabric SDK原生支持针对不同发布环境做清单内容动态替换，无需维护多份清单文件：

• 打开应用项目的ApplicationPackageRoot\ApplicationManifest.xml，删除固定的托管标识、身份绑定策略配置，先在根节点添加参数定义：

<Parameters>
  <Parameter Name="IncludeManagedIdentityConfig" DefaultValue="false" />
</Parameters>

• 在项目PublishProfiles文件夹下，找到Azure环境对应的发布配置文件（比如Cloud.xml），添加清单升级规则：

<ApplicationParameters>
  <Parameter Name="IncludeManagedIdentityConfig" Value="true" />
</ApplicationParameters>
<ManifestUpgrades>
  <ConfigUpgrade Name="ManagedIdentityConfig" Apply="OnlyWhenParameterTrue" ParameterName="IncludeManagedIdentityConfig">
    <AddElement Path="ApplicationManifest/ManagedIdentities">
      <ManagedIdentity Name="SystemAssigned" />
    </AddElement>
    <AddElement Path="ApplicationManifest/ServiceManifestImport/Policies">
      <IdentityBindingPolicy ServiceIdentityRef="KeyVaultUser" ApplicationIdentityRef="SystemAssigned" />
    </AddElement>
  </ConfigUpgrade>
</ManifestUpgrades>

• 本地开发用的Local.xml发布配置保持参数默认值false，打包时不会注入托管标识相关配置，直接绕开本地集群不支持托管标识的校验问题。

方案2：MSBuild条件编译生成环境专属清单 #

如果参数化替换无法满足复杂的配置差异需求，可以通过编译条件动态选择清单文件：

• 准备两份应用清单：带托管标识配置的命名为ApplicationManifest.Cloud.xml，不带相关配置的命名为ApplicationManifest.Local.xml
• 编辑应用项目的.sfproj工程文件，添加条件判断逻辑：

<Choose>
  <When Condition=" '$(Configuration)' == 'Cloud' ">
    <ItemGroup>
      <None Include="ApplicationPackageRoot\ApplicationManifest.Cloud.xml" Link="ApplicationPackageRoot\ApplicationManifest.xml" />
    </ItemGroup>
  </When>
  <Otherwise>
    <ItemGroup>
      <None Include="ApplicationPackageRoot\ApplicationManifest.Local.xml" Link="ApplicationPackageRoot\ApplicationManifest.xml" />
    </ItemGroup>
  </Otherwise>
</Choose>

• 发布到Azure时选择Cloud编译配置，本地调试选择Local配置即可。

方案3：本地集群模拟托管标识绕开校验 #

如果不想调整清单逻辑，可以在本地部署时手动传入模拟的PrincipalId绕开校验：
修改本地部署脚本中的New-ServiceFabricApplication调用，添加托管标识参数：

New-ServiceFabricApplication -ApplicationName $ApplicationName -ApplicationTypeName $ApplicationTypeName -ApplicationTypeVersion $ApplicationTypeVersion -ManagedIdentity @{ "SystemAssigned" = @{ "PrincipalId" = "00000000-0000-0000-0000-000000000000" } }

模拟的PrincipalId不会在本地实际生效，仅用于跳过部署校验，本地访问受保护资源时仍使用开发者个人身份认证即可。

内容的提问来源于stack exchange，提问作者h0tfus3