从 Kubernetes Pod 调用时 Azure Keyvault 错误请求

Question

在将某些服务从 Microsoft Service Fabric 转换为 Kubernetes 时，我在访问 Azure Key Vault 时遇到了问题。在我们的 ASP.NET 核心 ConfigureServices 调用中，我们从 Microsoft.Extensions.Configuration.AzureKeyVaultConfigurationExtensions 调用 AddAzureKeyVault 以注入(inject)配置的一些敏感部分，如下所示。

public void ConfigureServices(IServiceCollection services)
{

    var config = new ConfigurationBuilder()
        .SetBasePath(AppContext.BaseDirectory)
        .AddJsonFile("appsettings.json", optional: false, reloadOnChange: true)
        .AddAzureKeyVault(
            Environment.GetEnvironmentVariable("KEYVAULT_LOCATION"),
            Environment.GetEnvironmentVariable("KEYVAULT_CLIENT_ID"),
            Environment.GetEnvironmentVariable("KEYVAULT_CLIENT_SECRET")
        ).Build();

        //...
}

这在本地运行的 docker 镜像中运行良好，但一旦部署到 Azure Kubernetes 服务中，pod 就会失败，并显示以下内容...

Microsoft.Azure.KeyVault.Models.KeyVaultErrorException: Operation returned an invalid status code 'BadRequest'
   at Microsoft.Azure.KeyVault.KeyVaultClient.GetSecretsWithHttpMessagesAsync(String vaultBaseUrl, Nullable`1 maxresults, Dictionary`2 customHeaders, CancellationToken cancellationToken)

查看 Microsoft.Extensions.Configuration.AzureKeyVaultConfigurationExtensions 的来源，我可以用这个最少的代码重现该问题。

public void ConfigureServices(IServiceCollection services)
{
    GetSecrets(
        Environment.GetEnvironmentVariable("KEYVAULT_LOCATION"),
        Environment.GetEnvironmentVariable("KEYVAULT_CLIENT_ID"),
        Environment.GetEnvironmentVariable("KEYVAULT_CLIENT_SECRET")
    ).GetAwaiter().GetResult();
}

public async Task GetSecrets(string loc, string clientId, string clientSecret)
{
    KeyVaultClient.AuthenticationCallback callback =
        (authority, resource, scope) => GetTokenFromClientSecret(authority, resource, clientId, clientSecret);

    IKeyVaultClient _client = new KeyVaultClient(callback);

    //Exception thrown here
    var secrets = await _client.GetSecretsAsync(loc).ConfigureAwait(false);
}

private static async Task<string> GetTokenFromClientSecret(string authority, string resource, string clientId, string clientSecret)
{
    var authContext = new AuthenticationContext(authority);
    var clientCred = new ClientCredential(clientId, clientSecret);
    var result = await authContext.AcquireTokenAsync(resource, clientCred);
    return result.AccessToken;
}

我的问题是，与本地 Docker 镜像相比，从 AKS 中的 Pod 内调用此身份验证有何不同，这会导致此调用失败？

我已确认 Pod 可以访问更广泛的互联网，Key Vault 没有防火墙，并且 Insights 在 Key Vault 日志中显示一些身份验证失败。客户端 ID 和 key 是正确的并且具有正确的权限，因为这在 Docker 本地工作。我错过了什么？

Answer 1

我刚刚在我的计算机、本地群集和 AKS 群集上运行了您的代码示例。它在所有地方都有效。请检查您的环境。您可能找错地方了。您本地的环境中一定有某些东西。尝试在不同的环境中运行它。例如:在家(没有 VPN)。