.NET Core 3.1 WPF应用连接Azure Key Vault的身份认证问题咨询

DefaultAzureCredential 适用场景 #

DefaultAzureCredential 是 Azure Identity 提供的链式认证工具，会按优先级依次尝试环境变量、托管身份、本地开发工具登录凭证（VS/VS Code/Azure CLI）等方式获取认证令牌，核心适用场景有两个：

• 程序部署到Azure云服务时，自动使用分配给云资源的托管身份完成认证，全程不需要配置任何密钥
• 本地开发阶段，开发者直接在开发工具中登录Azure账号即可完成认证，不需要在代码里写任何认证相关配置
  你遇到的报错是因为当前运行环境既没有配置对应环境变量，也没有分配托管身份，同时也没有本地登录的Azure开发凭证，所有认证链路都校验失败导致的。

使用 Client ID + Client Secret 直接认证的方案 #

完全支持这种认证方式，Azure Identity 内置了 ClientSecretCredential 类专门用于服务主体的密钥认证，实现步骤如下：

1. 前置准备：在Azure AD中注册应用，获取租户ID（Tenant ID）、应用ID（Client ID）、客户端密钥（Client Secret），同时给该注册应用分配Key Vault的对应访问权限（如机密读取、写入权限）
2. 安装依赖NuGet包：
   Azure.Security.KeyVault.Secrets
Azure.Identity
3. 代码示例：

using Azure.Identity;
using Azure.Security.KeyVault.Secrets;

// 替换为实际参数
string tenantId = "你的AAD租户ID";
string clientId = "你的注册应用ID";
string clientSecret = "你的客户端密钥";
Uri keyVaultUri = new Uri("你的Key Vault访问地址");

// 构造SecretClient
SecretClient secretClient = new SecretClient(keyVaultUri, new ClientSecretCredential(tenantId, clientId, clientSecret));

// 测试读取机密
KeyVaultSecret testSecret = await secretClient.GetSecretAsync("待读取的机密名称");
Console.WriteLine(testSecret.Value);

重要提示：客户端密钥属于高敏感信息，禁止硬编码到WPF客户端代码中打包分发，建议客户端运行时通过用户主动输入、或者从安全的配置服务拉取的方式获取，避免密钥泄露。

内容的提问来源于stack exchange，提问作者CMorgan