如何在Azure Functions (v2)中使用Azure Key Vault？发布后运行异常

这种本地跑的好好的，一部署到Azure就掉链子的情况我见太多了，核心问题基本都是身份权限不匹配——毕竟本地你是用自己的开发账号访问Key Vault，到Azure上Function App得用它自己的身份才行。给你梳理几个必查的解决步骤：

• 第一步：配置Function App的托管标识并分配Key Vault权限
  这是最常见的坑，按下面步骤来：

  1. 打开Azure Portal，找到你的Function App，左侧菜单进入「设置」→「身份」，把「系统分配的」状态改成「开启」，保存后会生成一个唯一的「对象ID」。
  2. 切换到你的Key Vault，进入「访问策略」→「添加访问策略」：
     • 在「权限」里，选择「机密权限」并勾选「获取」（因为你只需要读取机密）；
     • 在「选择主体」里，搜索刚才Function App的名称或者它的「对象ID」，选中后添加；
     • 最后保存访问策略，注意：权限生效可能需要1-2分钟，别刚配置完就急着测试。

• 第二步：确保代码适配Azure环境的身份验证
  你当前用的AzureServiceTokenProvider在Azure环境下会自动识别Function App的托管标识，但要注意：

  • 不要手动指定本地的身份验证连接字符串，直接用无参构造new AzureServiceTokenProvider()即可；
  • 更推荐使用Azure官方新的SDK（Azure.Identity + Azure.Security.KeyVault.Secrets）替代旧的KeyVaultClient，新SDK对Azure环境的兼容性更好，示例代码如下：

    try
    {
        var vault_url = "https://mykeyvault.vault.azure.net/";
        var secretClient = new SecretClient(new Uri(vault_url), new DefaultAzureCredential());
        var secret = await secretClient.GetSecretAsync("facebook-appid-secret-...");
        fbAppSecret = secret.Value.Value;
    }
    catch (Exception ex)
    {
        // 这里可以添加日志记录，方便排查
        throw;
    }
    

• 第三步：排查Key Vault的防火墙设置
  如果你的Key Vault开启了防火墙，必须允许Function App访问：

  • 进入Key Vault的「防火墙和虚拟网络」设置，勾选「允许受信任的Microsoft服务绕过此防火墙」；
  • 或者把Function App的出站IP地址添加到Key Vault的允许列表里（Function App的「概述」页面可以查看出站IP）。

• 第四步：查看具体异常日志定位问题
  光看代码猜问题不够准，直接看Function App的日志：

  • 进入Function App的「监测」→「日志」，打开实时日志或者Application Insights，查看具体的异常信息：
    • 如果是Forbidden错误：100%是权限没配对，回到第一步检查访问策略；
    • 如果是Timeout或Cannot connect：大概率是防火墙挡住了，检查第三步的网络配置；
    • 如果是AssemblyNotFound：检查NuGet包版本是否兼容，建议更新到稳定版的Azure SDK包。

内容的提问来源于stack exchange，提问作者Tony