能否用KeyVault为Azure Function Blob存储绑定提供连接字符串？

别担心，完全可以跳过应用级设置，直接从Key Vault给Blob存储绑定提供连接字符串！Azure Functions在v3及以上的运行时版本中已经支持这种方式，下面给你两种常用的实现方案：

方案1：在绑定属性中直接引用Key Vault机密 #

你可以在绑定的Connection参数里直接使用Key Vault的引用语法，不需要在应用设置里存任何值。比如在C#的Blob触发器中：

[FunctionName("ProcessBlob")]
public static void Run(
    [BlobTrigger("input-container/{fileName}", 
        Connection = "@Microsoft.KeyVault(SecretName=your-storage-connection-secret-name)")] Stream blobStream,
    string fileName,
    ILogger log)
{
    log.LogInformation($"Processing blob: {fileName}");
    // 业务逻辑代码
}

如果你的Function和Key Vault不在同一租户/订阅，还可以用更完整的语法指定Vault名称：

@Microsoft.KeyVault(VaultName=your-keyvault-name, SecretName=your-storage-connection-secret-name)

方案2：通过host.json配置全局Key Vault引用 #

如果有多个绑定需要用到同一个Key Vault的机密，可以在host.json中配置全局的Key Vault连接，之后绑定里直接用机密名称即可：

{
  "version": "2.0",
  "extensionBundle": {
    "id": "Microsoft.Azure.Functions.ExtensionBundle",
    "version": "[3.*, 4.0.0)"
  },
  "configurations": {
    "Microsoft.Extensions.Configuration.KeyVault": {
      "VaultUri": "https://your-keyvault-name.vault.azure.net/",
      "SecretNames": [
        "your-storage-connection-secret-name"
      ]
    }
  }
}

之后绑定里就可以简化成：

[BlobTrigger("input-container/{fileName}", Connection = "your-storage-connection-secret-name")]

关键前提：配置正确的权限 #

不管用哪种方案，都需要给你的Function应用的托管身份（系统分配或用户分配）配置Key Vault的访问策略：

• 给身份添加**机密读取（Get）**权限
• 确保Key Vault的防火墙/网络设置允许Function应用访问（比如允许信任的Microsoft服务访问，或者把Function的IP加入白名单）

这样配置后，你的Function就能直接从Key Vault拉取存储连接字符串，完全不需要在应用设置里保留任何敏感信息啦！

内容的提问来源于stack exchange，提问作者ThatCreole