如何不将ClientSecret存入appsettings.json获取Azure Key Vault密钥

问题根因 #

你遇到的报错和功能不生效的核心原因有两点：

1. 配置加载顺序错误：KeyVault的初始化逻辑在SSO登录之前执行，此时没有可用的凭证访问KeyVault
2. 你禁用了DefaultAzureCredential的所有内置凭证源，开发环境无VS登录凭证、部署环境未配置托管标识的情况下，自然无法获取访问KeyVault的令牌

解决方案 #

1. 调整初始化顺序 #

将SSO登录逻辑提前到KeyVault初始化之前执行，确保访问KeyVault时已经拿到有效的身份凭证，全局只执行一次SSO登录，后续注册多个服务也不会重复触发登录提示。

2. 直接使用SSO返回的AccessToken构造凭证 #

不用依赖DefaultAzureCredential的内置凭证源，你已经通过SSO拿到的AccessToken可以直接用来初始化SecretClient，全程不需要存储任何密钥到代码或配置文件。

3. 适配多环境部署逻辑 #

开发环境用SSO凭证，部署环境用虚拟机的托管标识，无需任何密钥配置即可访问KeyVault。

修改后的代码示例 #

static void Main()
{
    // 第一步：先加载基础配置，读取KeyVault地址等固定配置
    var baseConfigBuilder = new ConfigurationBuilder()
        .SetBasePath(AppDomain.CurrentDomain.BaseDirectory)
        .AddJsonFile("appsettings.json", optional: false, reloadOnChange: true);
    var baseConfig = baseConfigBuilder.Build();

    // 第二步：提前执行SSO登录，全局仅执行一次
    SignInUserSSO();
    // 此处替换为你SSO逻辑实际返回的AccessToken和过期时间
    string ssoAccessToken = "你SSO返回的访问令牌";
    DateTimeOffset expireOn = "你SSO返回的令牌过期时间";

    // 第三步：根据环境选择凭证
    TokenCredential credential;
    if (Debugger.IsAttached)
    {
        // 开发环境用SSO返回的AccessToken构造凭证
        credential = new AccessTokenCredential(new AccessToken(ssoAccessToken, expireOn));
    }
    else
    {
        // 部署环境用虚拟机的系统托管标识，提前给该标识分配KeyVault的密钥读取权限即可
        credential = new ManagedIdentityCredential();
    }

    // 第四步：初始化Host，加载KeyVault配置
    Host = Microsoft.Extensions.Hosting.Host.CreateDefaultBuilder()
        .ConfigureAppConfiguration((context, builder) =>
        {
            builder.SetBasePath(AppDomain.CurrentDomain.BaseDirectory)
                .AddJsonFile("appsettings.json", optional: false, reloadOnChange: true);

            // 用构造好的凭证初始化SecretClient
            string keyVaultUri = baseConfig.GetValue<string>("Azure:FirmId:ResourceIdentifiers:KeyVault")
                .Replace("{KeyVaultName}", baseConfig.GetValue<string>("Azure:FirmId:KeyVaults:NameOfKeyVault"));
            var secretClient = new SecretClient(
                vaultUri: new Uri(keyVaultUri),
                credential: credential,
                new SecretClientOptions()
                {
                    Retry =
                    {
                        Delay= TimeSpan.FromSeconds(2),
                        MaxDelay = TimeSpan.FromSeconds(16),
                        MaxRetries = 5,
                        Mode = RetryMode.Exponential
                    }
                });

            // 加载KeyVault中的配置
            builder.AddAzureKeyVault(secretClient, new KeyVaultSecretManager());
            Configuration = builder.Build();
        })
        .ConfigureServices((context, services) =>
        {
            // 直接用已经包含KeyVault配置的Configuration注册服务即可
            ConfigureServices(Configuration, services);
        })
        .Build();

    // 后续原有逻辑
}

部署说明 #

部署到虚拟机时，只需在Azure门户给该虚拟机开启系统分配的托管标识，然后给该托管标识分配对应KeyVault的密钥读取权限，即可无需任何密钥配置正常访问KeyVault。

内容的提问来源于stack exchange，提问作者J Weezy