当然可以用Python实现Azure Key Vault的密钥获取，而且微软官方提供了成熟的SDK，比手动编写REST请求更稳定、易维护。先帮你梳理下现有代码的潜在问题，再给出两种可行方案：

一、先分析你现有代码的可能问题 #

• API版本过旧：你用的api-version=2015-06-01是非常早期的版本，建议使用最新的稳定版本（比如2023-07-01）
• 错误处理缺失：没有检查REST请求的响应状态码，比如token获取失败、权限不足等情况会直接报错
• 客户端误用：KeyVaultManagementClient是用于管理Key Vault资源（比如创建、删除 vault）的客户端，不是用来读取密钥的，读取密钥需要用专门的密钥操作客户端

二、推荐方案：使用官方Azure SDK for Python #

微软的azure-keyvault-secrets和azure-identity包是专门处理Key Vault密钥操作的官方工具，自动处理token的获取、刷新，代码更简洁可靠。

步骤1：安装依赖包 #

pip install azure-keyvault-secrets azure-identity

步骤2：实现密钥获取代码 #

from azure.identity import ClientSecretCredential
from azure.keyvault.secrets import SecretClient

def get_secret(vault_name, secret_name, secret_version=None):
    # 初始化服务主体凭证
    credential = ClientSecretCredential(
        tenant_id="你的租户ID",
        client_id="你的应用ID",
        client_secret="你的应用密钥"
    )
    
    # 创建Secret客户端
    vault_url = f"https://{vault_name}.vault.azure.net"
    secret_client = SecretClient(vault_url=vault_url, credential=credential)
    
    try:
        if secret_version:
            secret = secret_client.get_secret(secret_name, version=secret_version)
        else:
            secret = secret_client.get_secret(secret_name)
        return secret.value
    except Exception as e:
        # 可以根据具体异常类型做更细致的处理，比如权限不足、密钥不存在等
        print(f"获取密钥失败: {str(e)}")
        return "Secret Not Found"

三、模拟PowerShell逻辑：修正你的手动REST请求 #

如果你坚持要手动调用REST API（PowerShell本质上也是调用Azure REST API），可以按以下方式修正代码：

import requests

def get_secret(vault_name, secret_name, secret_version=''):
    # 获取访问令牌
    token_url = f"https://login.microsoftonline.com/你的租户ID/oauth2/v2.0/token"
    data = {
        "grant_type": "client_credentials",
        "client_id": "你的应用ID",
        "client_secret": "你的应用密钥",
        "scope": "https://vault.azure.net/.default"  # 注意这里用scope而不是resource，v2.0端点用scope
    }
    headers = {"Content-Type": "application/x-www-form-urlencoded"}
    
    r = requests.post(token_url, data=data, headers=headers)
    r.raise_for_status()  # 检查token请求是否成功
    access_token = r.json()['access_token']
    
    # 构造密钥请求URL
    if secret_version:
        secret_url = f"https://{vault_name}.vault.azure.net/secrets/{secret_name}/{secret_version}?api-version=2023-07-01"
    else:
        secret_url = f"https://{vault_name}.vault.azure.net/secrets/{secret_name}?api-version=2023-07-01"
    
    headers = {"Authorization": f"Bearer {access_token}"}
    r = requests.get(secret_url, headers=headers)
    
    try:
        r.raise_for_status()  # 检查密钥请求是否成功
        result = r.json()
        return result.get("value", "Secret Not Found")
    except requests.exceptions.HTTPError as e:
        print(f"请求出错: {str(e)}")
        return "Secret Not Found"

关键注意事项 #

• 权限配置：确保你的服务主体（client_id对应的应用）在Key Vault的访问策略中被授予了Get密钥的权限，或者通过RBAC分配了Key Vault Secrets User角色
• 端点版本：建议使用Azure AD v2.0令牌端点（login.microsoftonline.com/xxx/oauth2/v2.0/token），比v1.0更灵活
• 错误处理：生产环境中建议根据具体的HTTP状态码（比如403权限不足、404密钥不存在）做针对性处理，而不是简单返回“Secret Not Found”

内容的提问来源于stack exchange，提问作者flowstack