无法从Azure Data Lake Analytics访问Azure密钥库

Question

public static async Task<string> GetToken(string authority, string resource, string scope)
{
    var authContext = new AuthenticationContext(authority);
    var clientCred = new ClientCredential(applicationId, authenticationKey);
    AuthenticationResult result = await authContext.AcquireTokenAsync(resource, clientCred);
    if (result == null)
    {
        throw new InvalidOperationException("Failed to obtain the AD token");
    }
    return result.AccessToken;
}

public static async Task<string> GetSecret(string secretUri)
{
    var keyVaultClient = new KeyVaultClient(
            new KeyVaultClient.AuthenticationCallback(GetToken)
    );
    var sec = await keyVaultClient.GetSecretAsync(secretUri);
    return sec.Value;
}

https://my-key-vault-name.vault.azure.net:443/secrets/MyCredentialsName/123abc

我已经在Azure广告中注册了我的应用程序，并获得了应用程序ID和身份验证密钥，我允许我的应用程序从密钥库中读取机密。在我的U-SQL脚本中，我引用了所有需要的程序集。

当我在本地运行我的脚本时，一切都很好（这意味着从本地机器到AD和密钥库的连接是正常的），但是当我在远程数据湖分析帐户上提交它以执行时，我得到了以下错误：

无法解析远程名称：'my-key-vault-name.vault.azure.net'

在system.net.httpWebRequest.EndgetResponse（IAsyncResult asyncResult）在system.net.http.clientHandler.getResponseCallback（IAsyncResult ar）

我对Azure resource group的管理权限有限，但我可以访问Data Lake Analytics blade上的Firewall选项卡--我尝试启用和禁用防火墙，打开/关闭允许访问Azure服务，但错误仍然存在。

作为依赖项，我引用Microsoft.Azure.KeyVault 2.0.6、Microsoft.Azure.KeyVaultWebKey 2.0.4、Microsoft.IdentityModel.clients.ActiveDirectory 3.13.9。

我有什么想法可以解决这个问题吗？

Answer 1

在ADLA中运行的U-SQL代码不允许您连接到容器/VM之外的资源。原因是：

U-SQL的自定义代码调用可能会扩展超过100到1000s的容器，为数百万行调用数百万个容器。这很容易导致针对您试图访问的服务的分布式拒绝服务附加（希望是无意的），从而可能导致拒绝服务并阻止Azure IP范围。

本地运行当前不在容器中运行，因此没有这种限制强制。