如何使用Python批量获取Azure KeyVault中的机密值的技术问询

Azure Key Vault 原生设计上不支持单个HTTP请求批量获取多个机密的明文值，这是出于细粒度权限审计、访问控制的产品逻辑限制，所以没有官方原生的直接实现方案，以下是经过验证的可行优化方向：

• 并行异步拉取（改造成本最低，最通用）
  串行拉取耗时是单请求耗时×机密数量，改成并行IO请求后总耗时基本和拉取单个机密的耗时持平，完全可以满足数十个机密的加载速度要求。
  Python实现可以直接用官方提供的异步客户端：

  from azure.keyvault.secrets.aio import SecretClient
  from azure.identity.aio import DefaultAzureCredential
  import asyncio
  
  async def load_all_secrets(vault_url):
      credential = DefaultAzureCredential()
      async with SecretClient(vault_url=vault_url, credential=credential) as client:
          # 先拉取所有机密的元数据列表，过滤掉已禁用/已过期的机密
          secret_names = []
          async for secret_prop in client.list_properties_of_secrets():
              if not secret_prop.enabled:
                  continue
              secret_names.append(secret_prop.name)
          # 并行拉取所有机密的明文值
          tasks = [client.get_secret(name) for name in secret_names]
          secrets = await asyncio.gather(*tasks)
          # 转成字典存内存
          return {s.name: s.value for s in secrets}
  
  # 调用示例
  # secrets = asyncio.run(load_all_secrets("https://your-vault.vault.azure.net/"))
  

  非异步场景也可以用线程池包装同步的SecretClient请求，同样可以实现并行拉取效果。
• 单机密打包存储（速度最快，适合权限统一的场景）
  如果你的应用用到的所有机密不需要做细粒度的权限拆分，完全可以把所有机密序列化为JSON字符串，作为单个机密存在Key Vault中，应用启动时只需要发起1次请求拉取这个机密，本地反序列化后即可得到所有KV键值对。
  注意该方案的局限性：更新单个子机密时需要重新上传整个打包后的机密，且无法针对单个子机密做独立的权限管控、过期时间配置。
• 托管服务环境变量注入（适合部署在Azure托管服务的场景）
  如果你的应用部署在Azure App Service、Function App、Container Apps等托管服务中，可以直接在服务配置页将Key Vault机密引用为应用环境变量，Azure平台会自动帮你拉取机密注入到应用进程的环境变量中，应用启动时直接读取环境变量即可，不需要自己编写任何Key Vault请求代码。

内容的提问来源于stack exchange，提问作者Anton Koval'