如何使用Fluent Management修改现有Azure Key Vault的访问策略？

我帮你梳理下Fluent Management里修改已存在Key Vault访问策略的正确姿势——不能直接操作AccessPolicies只读集合，得通过SDK提供的Update()方法链来完成所有变更操作。下面针对你需要的三个场景分别给出代码示例：

1. 给现有服务主体添加Secret的Set权限 #

如果要给已配置的服务主体补充Secret的Set权限，不需要重新创建策略，直接在更新流程里追加权限即可：

// 从已有的Vault对象启动更新流程
var updatedVault = await appVault.Update()
    // 定位到目标服务主体的访问策略
    .UpdateAccessPolicy()
        .ForServicePrincipal(principalName)
        // 添加Set权限（会和已有权限合并，不会覆盖原有配置）
        .AllowSecretPermissions(SecretPermissions.Set)
        .Attach()
    // 提交更新到Azure
    .ApplyAsync();

2. 新增服务主体的密钥访问策略 #

如果要给新的服务主体配置密钥相关权限（比如Get、List），用DefineNewAccessPolicy()来添加全新策略：

var updatedVault = await appVault.Update()
    .DefineNewAccessPolicy()
        .ForServicePrincipal(newPrincipalName)
        // 按需配置密钥权限
        .AllowKeyPermissions(KeyPermissions.Get, KeyPermissions.List)
        .Attach()
    .ApplyAsync();

3. 撤销服务主体的所有访问权限 #

如果要完全移除某个服务主体的访问策略，用WithoutAccessPolicyForServicePrincipal()来删除：

var updatedVault = await appVault.Update()
    // 推荐用服务主体ID定位，比名称更准确
    .WithoutAccessPolicyForServicePrincipal(principalId)
    .ApplyAsync();

额外说明 #

你之前代码里的appVault.AccessPolicies.?????找不到修改方法，是因为AccessPolicies是只读的视图集合，所有变更必须通过Update()入口来执行，这样才能保证修改被正确同步到Azure后台。

如果需要同时执行多个修改（比如给A加权限、给B删权限），可以把所有操作放在同一个Update()链里一次性提交：

var updatedVault = await appVault.Update()
    // 给主体1添加Secret的Set权限
    .UpdateAccessPolicy()
        .ForServicePrincipal(principalName1)
        .AllowSecretPermissions(SecretPermissions.Set)
        .Attach()
    // 新增主体2的密钥权限
    .DefineNewAccessPolicy()
        .ForServicePrincipal(principalName2)
        .AllowKeyPermissions(KeyPermissions.Get)
        .Attach()
    // 移除主体3的所有权限
    .WithoutAccessPolicyForServicePrincipal(principalId3)
    .ApplyAsync();

内容的提问来源于stack exchange，提问作者user1075940