Azure函数应用从Key Vault拉取最新密钥的无滞后密钥轮转方案咨询

1 自定义SDK获取密钥仍返回旧版本的原因排查 #

平台级@Microsoft.KeyVault配置引用的缓存和你自行调用Key Vault SDK是完全独立的两个链路，SDK默认调用无版本的GetSecretAsync不会主动缓存密钥，出现返回旧版本的情况可按以下顺序排查：

• 确认代码中调用GetSecretAsync时未传入版本参数
• 确认Key Vault对应密钥的最新版本状态为已启用，未设置禁用、过期规则
• 确认函数托管身份已被授予Key Vault的密钥读取权限（访问策略或Azure RBAC规则）
• 如果你通过Azure.Extensions.AspNetCore.Configuration.Secrets包将Key Vault作为配置源集成，该包默认有15分钟的缓存周期，需显式修改ReloadInterval参数调整刷新间隔。

2 无滞后获取最新密钥的可行方案 #

方案一：业务代码自行拉取密钥（推荐，灵活度最高） #

放弃平台级@Microsoft.KeyVault配置引用，在代码中按需调用Key Vault SDK获取密钥，可自行控制缓存策略，既避免24小时滞后问题，也不用担心Key Vault请求限流。
示例代码（搭配内存缓存控制刷新频率）：

// 提前注入IMemoryCache
public async Task<string> GetLatestSecretAsync(string secretName)
{
    var cacheKey = $"KV_SECRET_{secretName}";
    if (!_memoryCache.TryGetValue(cacheKey, out string secretValue))
    {
        string kvUri = $"https://{keyVaultName}.vault.azure.net";
        SecretClient client = new SecretClient(new Uri(kvUri), new DefaultAzureCredential());
        Azure.Response<KeyVaultSecret> secret = await client.GetSecretAsync(secretName);
        secretValue = secret.Value.Value;
        // 可根据业务接受的最大滞后时间调整缓存时长，示例为1分钟
        _memoryCache.Set(cacheKey, secretValue, TimeSpan.FromMinutes(1));
    }
    return secretValue;
}

该方案无需修改配置、无需重启函数，密钥更新后最长等待你设置的缓存时长即可生效，若完全取消缓存则可实现实时获取最新密钥。

方案二：事件驱动触发平台配置刷新（无代码侵入） #

如果不想修改现有业务代码，可利用官方规则「任意配置变更会立即刷新所有Key Vault引用」的特性，搭配事件驱动实现自动刷新：

1. 为Key Vault配置事件订阅，当发生「密钥新版本创建」事件时，通过Event Grid触发一个辅助函数
2. 辅助函数调用Azure管理API，修改目标函数应用的一个无关配置项（例如新增名为LAST_KV_REFRESH_TIME的配置，值为当前UTC时间戳）
3. 平台检测到配置变更后会立即拉取所有Key Vault引用的最新版本，无需重启函数应用，也不需要修改原有密钥配置。

内容的提问来源于stack exchange，提问作者PriyankaB