Azure Key Vault：用户、组或应用程序没有对 Key Vault 的机密集权限

Question

我正在使用 Azure CLI 创建一个脚本，该脚本将自动生成应用程序注册（服务主体），然后使用该应用程序注册创建将存储在 Azure Key Vault 中的机密。

但是，我收到以下错误：

用户、组或应用程序'appid=04b07795-8ddb-461a-bbee-02f9e1bf7b46;oid=0ec2b0e8-daeb-46a8-b627-0d4f61f871 57;numgroups=134;iss=https://sts.windows.net/72f988bf-86f1-41af-91ab-2d7cd011db47/'没有对密钥保管库“asakeyabcfelaqpgsfnxcy;location=eastus”设置机密权限。如需解决此问题的帮助，请参阅 https://go.microsoft.com/fwlink/? linkid=2125287

任何人都可以提供有关此 ID 是什么以及如何解决此错误的指导吗？这不是我的应用程序注册对象 ID 或应用程序 ID。

Answer 1

我想你现在关心的有两点，一是你没有添加secret，二是错误消息中的app id不是你注册的。

我想你已经按照文档执行了cli命令，所以我只想解释一下第二点。请允许我向您展示一个代码示例以获得更好的解释。

using Azure.Identity;
using Azure.Security.KeyVault.Secrets;

public async Task<IActionResult> PrivacyAsync()
{
    var kvUri = "https://your_vault_name.vault.azure.net/";
    var client = new SecretClient(new Uri(kvUri), new DefaultAzureCredential());
    _ = await client.SetSecretAsync("test0311", "hello");
    return View();
}

当我们想要将密钥保管库机密添加到 azure 时，我们需要提供凭据以便对我们的操作进行身份验证。这是此处的 DefaultAzureCredential()，它有多个来源来获取身份验证，如下面的屏幕截图所示。

这意味着如果有人设置了 环境变量 进行身份验证，那么它会覆盖您在执行 cli 命令时输入的信息，这通常可能会导致应用程序与您设置的内容不同的问题。我想你可以按照这个文档检查你的所有配置并重试，或者你可以直接用你在计算机上注册的应用程序添加环境变量。

顺便说一句，请不要忘记 在 Azure 门户中为你注册的 Azure 广告应用添加访问策略。