混合加入Azure Arc的本地Windows Server容器利用主机托管标识访问Azure Key Vault的配置问题

我之前在做类似的Arc混合部署时踩过这个坑，给你梳理下必须搞定的几个配置点，应该就能解决容器里ManagedIdentityCredential认证失败的问题：

• 第一步：改用HostProcess容器部署你的应用
  Windows Server 2022支持的HostProcess容器是核心解决方案，它能直接共享主机的系统资源和网络栈，让容器内的应用可以无障碍访问主机上的Azure Arc托管标识服务。部署时要注意：

  • 用docker run命令部署时，必须加上--hostprocess参数，比如：docker run --hostprocess -d your-aspnet-image
  • 如果用Docker Compose管理容器，需要在服务配置中添加host_process: true（要求Compose版本2.10及以上）
  • 容器镜像的OS版本必须和主机的Windows Server 2022匹配，比如选择mcr.microsoft.com/dotnet/aspnet:6.0-nanoserver-ltsc2022这类镜像

• 第二步：配置Azure Arc代理允许容器的标识请求
  默认情况下，Arc的主机代理会拒绝来自容器的标识请求，你需要在主机上运行以下两条PowerShell命令打开权限：

  azcmagent config set incomingconnections.allowcontainers true
  Restart-Service -Name himds
  

  第一条命令允许容器进程访问主机的标识服务，第二条重启Arc的标识代理服务让配置立即生效。

• 第三步：确保容器能访问主机的实例元数据服务（IMDS）
  ManagedIdentityCredential是通过IMDS（固定地址http://169.254.169.254）获取身份令牌的，HostProcess容器因为共享主机网络，默认就能访问这个地址。如果用非HostProcess容器，需要额外配置网络端口转发，但这种方案容易出问题，直接用HostProcess是最省心的选择。

• 第四步：优化代码里的凭证配置（可选但利于排查）
  你用DefaultAzureCredential的思路是对的，不过可以稍微调整代码，明确指定使用托管标识，避免其他认证方式干扰问题排查：

  using Azure.Core;
  using Azure.Identity;
  using Azure.Security.KeyVault.Secrets;
  
  var keyVaultName = "your-key-vault-name";
  var secretName = "your-secret-name";
  var kvUri = $"https://{keyVaultName}.vault.azure.net";
  
  // 明确使用主机的托管标识，无需指定ClientId（系统分配标识自动识别）
  var credential = new ManagedIdentityCredential();
  var client = new SecretClient(new Uri(kvUri), credential);
  
  try
  {
      KeyVaultSecret secret = await client.GetSecretAsync(secretName);
      Console.WriteLine($"Secret value: {secret.Value}");
  }
  catch (Exception ex)
  {
      Console.WriteLine($"Error accessing Key Vault: {ex.Message}");
  }
  

  不用手动设置AZURE_MSI_ENDPOINT这类环境变量，HostProcess容器会自动继承主机的相关配置。

• 最后再核对Key Vault的访问策略
  虽然你主机上的应用能正常访问，但还是要再确认：主机的Azure Arc托管标识（系统分配或用户分配的）在Key Vault的访问策略中，是否拥有Get类型的秘密权限，且标识的ObjectId没有填错。

做完这些配置后，重新启动容器，应该就能正常通过主机的托管标识访问Key Vault了。

备注：内容来源于stack exchange，提问作者Brandon G