azure - 无法通过 Azure KeyVault 进行身份验证时，如何识别 "first party service"是什么？

Question

尽管进行了多个小时的故障排除，我仍无法让 Visual Studio 向 Azure KeyVault 进行身份验证。无论我尝试什么，我都会收到以下无用的错误:

Service request failed.Status: 403 (Forbidden)

Content:{"error":{"code":"Forbidden","message":"Access denied to first party service.\r\nCaller: name=from-infra;tid=GUID_REDACTED;appid=GUID_REDACTED;iss=https://sts.windows.net/GUID_REDACTED/\r\nVault: VAULT_NAME;location=westus","innererror":{"code":"AccessDenied"}}}

这里有什么东西(也许是经过编辑的 GUID 值之一)我可以用来确定它遇到问题的“第一方服务”是什么？

我在“Azure 服务身份验证”部分中使用我的 MSDN 帐户登录。 KeyVault 存在于该 MSDN 帐户中。该 KeyVault 中还有针对我的 MSDN 帐户和我的应用服务主体 ID 的访问策略。当尝试进行身份验证时，这些似乎被完全忽略。

这是我一直在尝试使用的基本代码。

            var credential = new VisualStudioCredential(new VisualStudioCredentialOptions { TenantId = "GUID from tid in above error" });

            // Create a secret client using the DefaultAzureCredential
            var client = new SecretClient(new Uri("https://MY_VAULT.vault.azure.net/"), new DefaultAzureCredential());

            var secret = client.GetSecret("MySecretId");

我尝试了多个版本的 VisualStudioCredential 和 DefaultAzureCredential。无论我做什么，我都无法摆脱这个“第一方服务被拒绝访问”错误，所以我认为下一步是找出“第一方服务”是什么，因为它似乎不是我的MSDN帐户或我的应用服务。

Answer 1

租户 f8cdef31-a31e-4b4a-93e4-5f571e91255a 是定义 Microsoft 第一方应用程序的特殊租户。某些 ARM 和计算方案使用此租户的 token 访问 Key Vault，但通常 Key Vault 会拒绝来自此租户的 token ，并且不可供客户使用。

当您查看 Azure 门户中的“Azure Active Directory”部分时，您应使用的租户是显示在“租户 ID”下的租户。个人帐户(例如 Outlook.com 帐户)如果不指定自己的租户 ID，则可以获得第一方租户颁发的 token 。组织帐户根据与租户关联的经过验证的域从其主租户获取 token ，因此它们通常不需要显式指定租户 ID。