从 Azure VM 运行 WebApp 时托管标识失败

Question

我创建了一个访问 KeyVault 以获取机密的 asp.net API。

当我在笔记本电脑上本地运行时，我使用托管身份通过专用服务原则访问 KeyVault。 （在我的系统环境变量中设置了 AZURE_CLIENT_ID、AZURE_CLIENT_SECRET 和 AZURE_TENANT_ID）。

这工作得很好。

现在我在 Azure 中创建了一个 VM，用作开发人员机器。 所有工具都像在我的笔记本电脑上一样安装和配置。

但是当我运行 web API 时，我收到一个 403，告诉我 object ID #### 没有对 KeyVault 的获取/列出访问权限。 我检查过，object ID 与 VM 之一匹配。 实际上，VM 没有对 KeyVault 的访问权限，但是我希望 Web API 可以在我的环境变量中使用配置的 AZURE_CLIENT_ID 运行。

我错过了什么吗？

Answer 1

确保在为您的托管身份/服务主体创建的访问策略中选择/启用了 get/list 操作：