使用ARM通过MSI配置App Service访问：MSI的principalId用objectId？applicationId是否冗余？

数据老陈

2026-5-21

我来帮你梳理清楚Azure密钥保管库访问策略配置里的这两个核心属性，以及你关于MSI权限配置的疑问：

密钥保管库访问策略核心属性

objectId string（必填）：密钥保管库所在Azure AD租户中用户、服务主体或安全组的对象ID，在访问策略列表中必须唯一。
applicationId string（可选）：代表主体发起请求的客户端应用程序ID，为全局唯一标识符。

MSI场景下的权限配置疑问解答

1. 为MSI的principalId配置访问权限时，是否应使用objectId？

没错，就是这么操作的。MSI（托管服务标识）本质上是Azure AD中的一类特殊服务主体，它的principalId其实就是对应的objectId。在配置密钥保管库访问策略时，你直接把MSI的principalId填入objectId字段即可，这样密钥保管库才能正确识别并授权这个MSI身份进行访问。

2. 这个场景下applicationId是不是冗余的？

对MSI场景来说，applicationId确实是冗余的。因为MSI是Azure平台托管的身份，它没有独立的客户端应用程序ID——MSI的身份验证请求是通过Azure内部机制直接处理的，不需要额外指定applicationId来标识发起请求的客户端。只有当你为自主注册的Azure AD应用服务主体配置访问策略时，applicationId才有用，用来限定只有特定客户端应用代表该服务主体发起的请求才能获得授权。