无法使用 C# Azure Function 中的系统托管标识从 Key Vault 获取机密值

Question

我在 azure 函数（服务总线主题触发器）中启用了系统分配的托管标识，并在密钥库访问策略中添加了标识（对象（主体）ID），并具有“获取、列出”机密、密钥的权限。 I added the reference of the Key Vault into Azure function Application settings and able to receive at runtime after azure function deployment.

@Microsoft.KeyVault(SecretUri=https://myvault.vault.azure.net/secrets/mysecret/ec96f02080254f109c51a1f14cdb1931)

代码：

        private async Task<string> FetchSecretValueFromKeyvault(string secretName)
        {
            _logger.LogInformation($"FetchSecretValueFromKeyvault: SecretName {secretName}");
            string actualSecret = string.Empty;
            try
            {
                string systemAssignedClientId = GetEnvironmentVariable("AzureADManagedIdentityClientId");
                string azureKeyVaultUrl = GetEnvironmentVariable("AzureKeyVaultUrl");
                var defaultAzureCredentialOptions = new DefaultAzureCredentialOptions();
                defaultAzureCredentialOptions.ExcludeAzureCliCredential = true;
                defaultAzureCredentialOptions.ExcludeEnvironmentCredential = true;
                defaultAzureCredentialOptions.ExcludeAzurePowerShellCredential = true;
                defaultAzureCredentialOptions.ExcludeInteractiveBrowserCredential = true;
                defaultAzureCredentialOptions.ExcludeManagedIdentityCredential = false;
                defaultAzureCredentialOptions.ExcludeSharedTokenCacheCredential = true;
                defaultAzureCredentialOptions.ExcludeVisualStudioCodeCredential = true;
                defaultAzureCredentialOptions.ExcludeVisualStudioCredential = true;
                defaultAzureCredentialOptions.ManagedIdentityClientId = systemAssignedClientId;

                var credential = new DefaultAzureCredential(defaultAzureCredentialOptions);

                var client = new SecretClient(new Uri(AzureKeyVaultUrl)), credential);
                var secret = await client.GetSecretAsync(secretName).ConfigureAwait(false);
                actualSecret = secret.Value.Value;
                _logger.LogInformation($"FetchSecretValueFromKeyvault:  Received secretValue for {secretName}");
            }
            catch (RequestFailedException ex)
            {
                actualSecret = string.Empty;
                _logger.LogError($"Message: {ex.Message}. \nInnerException:{ex.InnerException}. \nStackTrace: {ex.StackTrace}. \nInnerExceptionMessage:{ex.InnerException?.Message}.");
            }
            catch (Exception ex)
            {
                actualSecret = string.Empty;
                _logger.LogError($"Message: {ex.Message}. \nInnerException:{ex.InnerException}. \nStackTrace: {ex.StackTrace}. \nInnerExceptionMessage:{ex.InnerException?.Message}.");
            }
            return actualSecret;
        }

本地设置 & Azure Function 应用设置：

“AzureADManagedIdentityClientId”：“xxx-123-abc-xyz-567890”

"AzureKeyVaultUrl": "https://keyvaulturl.azurewebsites.net",

Nuget package 及其版本：

Azure.Security.KeyVault.Secrets -- 4.3.0

Azure.Extensions.AspNetCore.Configuration.Secrets -- 1.2.2

Azure.Identity -- 1.6.1

Function 运行时版本：.NET Core V3.1

我试图在相同托管身份的帮助下通过代码读取相同的秘密值，但出现错误ManagedIdentityCredential authentication unavailable. Multiple attempts failed to obtain a token from the managed identity endpoint.' ManagedIdentityCredential authentication unavailable. Multiple attempts failed to obtain a token from the managed identity endpoint.' 在本地机器上调试时。 我部署了 azure function，在应用程序洞察中，我No Managed Identity found for specified ClientId/ResourceId/PrincipalId. Status: 400 (Bad Request) No Managed Identity found for specified ClientId/ResourceId/PrincipalId. Status: 400 (Bad Request)

我仔细检查了PrincipalId ，它存在于两个本地设置中，azure function 应用程序设置和值是正确的。

我究竟做错了什么？

Answer 1

请检查：

1. 当部署到实际支持托管标识的 Azure 资源时，库自动将托管标识用于 Azure 资源

Local machines does not support managed identities for Azure resources 。

2. 因此，在本地环境中 Microsoft.Azure.Services.AppAuthentication 库使用开发人员凭据。

3. 对于本地开发， AzureServiceTokenProvider尝试首先使用Visual Studio获取令牌，然后使用Azure 命令行界面(CLI) 或Azure AD Integrated Authentication 。

4. 您可以尝试使用可传递给 AzureServiceTokenProvider 的AzureServicesAuthConnectionString环境变量中指定的connection string 。

5. 您可以使用 Visual Studio 或 azure cli 方法传递给 azure 服务身份验证。 使用azure cli ，您可以创建服务主体 rbac 以进行本地测试，例如

   az ad sp create-for-rbac --name local-sp --skip-assignment。

使用传递给 AzureServicesAuthConnectionString 环境变量中的 AzureServiceTokenProvider 的connection string进行本地开发，该开发使用 AzureCli 获取令牌。

`RunAs=Developer; DeveloperTool=AzureCli`

然后，您可能必须在access control (IAM )中为所需的 Azure 服务添加服务主体localtest-sp 。

6. 在 Azure.Identity 中使用DefaultAzureCredential将提供某种与 AppAuthentication 中的 AzureServiceTokenProvider 类似的类型功能，可以更改当前环境。

请检查此应用程序身份验证客户端库以获取 .NET | Microsoft Docs尝试使用机密或证书的其他选项。

来自AppAuthentication的片段

使用 AppAuthentication 库：

 AzureServiceTokenProvider tokenProvider = new AzureServiceTokenProvider(); var client = new KeyVaultClient(new KeyVaultClient.AuthenticationCallback(tokenProvider.KeyVaultTokenCallback)); ...

使用 Azure.Identity 库：

 var client = new SecretClient(new Uri("https://keyvaultname.vault.azure.net"), new

DefaultAzureCredential());

 var secret = client.GetSecret("secretName").Value;

• 对于访问令牌检索

使用 AppAuthentication 库：

 var tokenProvider = new AzureServiceTokenProvider(); var accessToken = await tokenProvider.GetAccessTokenAsync(ResourceId);

使用 Azure.Identity 库：

 var tokenCredential = new DefaultAzureCredential(); var accessToken = await tokenCredential.GetTokenAsync( new TokenRequestContext(scopes: new string[] { ResourceId + "/.default" }) { } );

参考： python - ManagedIdentityCredential 身份验证不可用，未找到托管身份端点 - Thinbug