Azure应用程序配置、密钥库和托管服务标识（.NET Core 3.1）

Question

我设置了一个简单的应用程序服务来使用/测试Azure应用程序配置

• Azure应用程序配置包含2个非密钥库条目和1个密钥库引用条目
• 使用正确的访问策略设置密钥库，允许获取/列出Azure应用程序配置的托管服务标识的机密

public static IHostBuilder CreateHostBuilder(string[] args) =>
Host.CreateDefaultBuilder(args)
.ConfigureWebHostDefaults(webBuilder =>
webBuilder.ConfigureAppConfiguration((hostingContext, config) =>
{
    var settings = config.Build();
    config.AddAzureAppConfiguration(settings["ConnectionStrings:AppConfig"]);
})
.UseStartup<Startup>());

当我在Azure App Config中添加指向KeyVault的条目时，应用程序将不会启动（HTTP错误500.30-ANCM进程内启动失败），日志显示此异常：

异常信息：Microsoft.Extensions.Configuration.AzureAppConfiguration.KeyVaUltReferenceException：未配置密钥存储库凭据，也未找到匹配的机密客户端。ErrorCode：,key：TestConnectionString,Label：,eTag:6EZSQW96CSAET7YM5H4DEDSLTKI,SecretiDentifier:https://TestKeyVault.vault.Azure.net/Secrets/TestSecret---->System.UnauthorizedAccessException：未配置密钥存储库凭据，也未找到匹配的秘密客户端。

似乎很明显有些东西没有得到正确的保护，但我检查了很多次，密钥库有一个访问策略，授予Azure应用程序配置标识的Get/List of Secrets。

我还尝试了主机构建器中的ConfigureKeyVault选项，即。

public static IHostBuilder CreateHostBuilder(string[] args) =>
    Host.CreateDefaultBuilder(args)
    .ConfigureWebHostDefaults(webBuilder =>
    webBuilder.ConfigureAppConfiguration((hostingContext, config) =>
    {
        var settings = config.Build();

        config.AddAzureAppConfiguration(options =>
        {
            options.Connect(settings["ConnectionStrings:AppConfig"])
                    .ConfigureKeyVault(kv =>
                    {
                        kv.SetCredential(new DefaultAzureCredential());
                    });
        });
    })
    .UseStartup<Startup>());

密钥库上的访问策略授予Azure应用程序配置标识的Get/List机密是需要完成的全部工作吗？还是我错过了什么？（我也试过授予应用程序服务的访问策略，没有运气）。

Answer 1

对于密钥库引用，应用程序需要设置对应用程序配置和密钥库的身份验证。这两个服务不直接通信，因此应用程序配置不需要任何对密钥库的访问权限。使用configurekeyvault的代码段是正确的。它指定defaultazurecredential用于对密钥存储库进行身份验证，以便解析密钥存储库引用。

为了让您托管在Azure App服务中的应用程序能够从密钥库中访问机密，您可以在App服务上启用托管身份，并在密钥库中授予其GET和LIST权限。

对于开发环境，这些指令可用于创建服务主体、授予权限和设置要由DefaultaZureCredential使用的适当环境变量。