使用主体帐户访问时Azure KeyVault 403 Forbidden

Question

我创建了一个 Azure KeyVault，我希望我的应用服务能够访问它。据我所知，我的 App Service 的主体应该有权访问 KeyVault，但在尝试从中检索时，我总是收到以下错误。无论我是在 Visual Studio 中本地运行还是在 Azure 中运行，都会发生这种情况。

Service request failed. Status: 403 (Forbidden) Content: {"error":{"code":"Forbidden","message":"The policy requires the caller 'appid=MY_APP_ID;oid=MY_PRINCIPAL_ID_STARTING_WITH_1A5 ;iss=https://sts.windows.net/REDACTED_GUID/' to use on-behalf-of (OBO) flow. For more information on OBO, please see https://go.microsoft.com/fwlink/?linkid=2152310","innererror":{"code":"ForbiddenByPolicy"}}} Headers: Pragma: no-cache x-ms-keyvault-region: westus x-ms-client-request-id: REDACTED x-ms-request-id: REDACTED x-ms-keyvault-service-version: 1.2.236.0 x-ms-keyvault-network-info: conn_type=Ipv4;addr=52.155.40.204;act_addr_fam=InterNetwork; Strict-Transport-Security: REDACTED X-Content-Type-Options: REDACTED Content-Length: 387 Cache-Control: no-cache Content-Type: application/json; charset=utf-8 Date: Wed, 21 Apr 2021 20:10:33 GMT Expires: -1 X-Powered-By: REDACTED

我已经查看了链接的KB文章，它讨论了 OAUTH`。我不想使用 OAUTH，所以我不明白为什么这是相关的。

这是我的 KeyVault 中的访问策略:

这是我配置主体的应用服务的屏幕截图。

它在底部明确表示可以配置它来访问其他资源，所以我不明白为什么它不能访问KeyVault。

用于尝试访问的代码。

        var kvUri = "https://" + Properties.Settings.Default.KeyVaultName + ".vault.azure.net";
        var credential = new DefaultAzureCredential();
        var client = new SecretClient(new Uri(kvUri),credential );
        var result = client.GetSecret(secret);

Answer 1

设置访问策略时，需要选择仅包含对象 ID(不包含应用 ID)的服务主体。

请参阅类似的帖子 answer .