使用DefaultAzureCredential从Azure Key Vault检索Secret及异常排查

最高发报错触发原因 #

出现The requested name is valid, but no data of the requested type was found报错时，优先排查两类网络层、配置层问题，这类问题占同场景报错的90%以上：

• 核对Key Vault URI拼接逻辑：当前代码的kvUri拼接缺少域名分隔符，合法的Key Vault访问URI格式为https://<KV名称>.vault.azure.net，原代码拼接生成的域名为https://<KV名称>vault.azure.net，属于无效域名，DNS解析阶段就会抛出该类网络错误，请求根本无法抵达Azure Key Vault服务端，不会走到认证校验环节
• 检查环境变量生效状态：配置完系统级KEY_VAULT_NAME环境变量后，需要完全关闭所有代码运行进程（包括Visual Studio、dotnet CLI终端、调试宿主进程）再重启，否则进程无法读取最新的环境变量值，会拿到空的KV名称，同样导致URI拼接无效触发DNS报错

DefaultAzureCredential 配置校验项 #

确认URI本身正确后，按顺序排查凭证配置：

• 确认本地登录态：DefaultAzureCredential在本地开发场景下，会依次从Azure CLI、Visual Studio内置账号、Visual Studio Code账号、环境变量等渠道拉取认证凭证，需保证最终拉取到的登录账号，对目标Key Vault拥有访问权限
• 确认KV侧权限配置：不管使用哪种认证身份，都需要在Key Vault的访问控制配置中，给该身份分配至少Key Vault Secrets User角色，具备读取机密的权限，否则会触发后续权限校验类报错

修正后的代码片段 #

var keyVaultName = Environment.GetEnvironmentVariable("KEY_VAULT_NAME");
// 补全域名分隔点，生成合法的Key Vault访问URI
var kvUri = $"https://{keyVaultName}.vault.azure.net";
var client = new SecretClient(new Uri(kvUri), new DefaultAzureCredential());
var secret = (await client.GetSecretAsync("my-secret-key")).Value.Value;

快速验证方法 #

• 打印最终拼接完成的kvUri值，复制到本地浏览器访问，如果无法正常加载Azure Portal的Key Vault页面，说明URI本身存在错误
• 临时在代码中输出kvUri和keyVaultName的读取值，确认环境变量读取正常、KV名称没有拼写错误

内容的提问来源于stack exchange，提问作者pnizzle