本地系统账户托管服务时的代理绕过问题：如何强制遵循代理设置？

1. 配置系统级代理注册表项 #

Local System账户读取的是机器级代理设置，而非用户级配置。你需要修改注册表确保代理规则应用到系统全局：

• 打开注册表编辑器（regedit），导航到HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Internet Settings
• 设置或修改以下键值：
  • ProxyEnable：设为DWORD: 1（启用代理）
  • ProxyServer：设为字符串值，格式如http://proxyserver:port;https://proxyserver:port
  • ProxyOverride（可选）：若需排除特定地址，填写分号分隔的列表，注意不要包含Key Vault的域名/IP

修改后需重启服务或系统，确保设置生效

2. 添加系统级代理环境变量 #

Local System账户使用系统级环境变量，可通过以下步骤配置：

• 右键「此电脑」→「属性」→「高级系统设置」→「环境变量」
• 在「系统变量」区域添加：
  • HTTP_PROXY：值为http://proxyserver:port
  • HTTPS_PROXY：值为https://proxyserver:port
  • NO_PROXY（可选）：填写无需走代理的地址，不要包含Key Vault相关内容
• 重启服务使环境变量生效

3. 在应用代码中显式指定代理 #

如果系统级配置不生效，可在应用代码中强制设置代理，确保无论运行账户是谁都遵循规则：
以.NET访问Key Vault为例：

var proxy = new WebProxy("http://proxyserver:port")
{
    BypassProxyOnLocal = false
};
var httpClientHandler = new HttpClientHandler { Proxy = proxy };
var httpClient = new HttpClient(httpClientHandler);

// 用配置好的HttpClient初始化Key Vault客户端
var client = new SecretClient(
    new Uri("https://your-vault.vault.azure.net/"), 
    new DefaultAzureCredential(), 
    new SecretClientOptions
    {
        Transport = new HttpClientTransport(httpClient)
    });

4. 检查代理排除列表 #

确认系统代理的「例外情况」中没有包含Key Vault的域名（如*.vault.azure.net）或对应IP地址，若有则移除，确保Key Vault请求会经过代理。

内容的提问来源于stack exchange，提问作者Amit