Azure Python SDK对接KeyVault的服务主体创建及环境变量配置问题

1. 服务主体创建的名称参数选择 #

优先选择 现有Azure AD应用注册名称，理由如下：

• 你当前的App Service已经绑定了用于身份验证的AAD应用注册，复用该身份标识可以减少冗余的AAD资源，避免权限分散管理。后续为服务主体配置资源权限（例如Key Vault访问权限）时，直接针对现有应用注册配置即可，无需维护多套独立的身份凭证。
• 如果选择现有Web应用名称或全新名称，执行命令后都会创建独立的全新AAD应用注册，和你当前App Service绑定的应用没有关联，不仅会增加资源维护成本，还容易出现权限配置遗漏、身份标识混淆的问题。

注意：如果复用现有AAD应用注册，命令执行后生成的AZURE_CLIENT_ID、AZURE_CLIENT_SECRET、AZURE_TENANT_ID会直接对应你现有应用的身份信息，无需额外做关联配置。

2. 环境变量配置方式 #

优先在Azure App Service Web应用的Configuration->Application Settings中配置这三个环境变量，不需要写在Dockerfile中，原因如下：

• Dockerfile属于镜像构建文件，若将敏感的客户端密钥等信息硬编码在Dockerfile中，会存在严重的凭据泄露风险，不符合云资源安全规范。
• App Service的应用设置默认是加密存储的，应用运行时会自动将这些配置注入到容器的系统环境变量中，和手动执行export命令的效果完全一致，Azure SDK可以直接识别读取，无需修改镜像或代码。
• 后续需要轮换客户端密钥、调整租户配置时，直接在Azure Portal修改应用设置即可立即生效，无需重新构建、推送Docker镜像，运维效率更高。

内容的提问来源于stack exchange，提问作者John Stud