azure - Azure KeyVault 访问的 token 刷新

Question

当我尝试通过本地计算机访问 Key Vault 时，出现以下错误

DefaultAzureCredential()

我正在运行以下两行，但我不断收到错误。

client = SecretClient(vault_url=<URL>, credential=DefaultAzureCredential())
secret = client.get_secret(<SECRET NAME>).value

azure.core.exceptions.ClientAuthenticationError: DefaultAzureCredential failed to retrieve a token from the included credentials.
Attempted credentials:
EnvironmentCredential: EnvironmentCredential authentication unavailable. Environment variables are not fully configured.
ManagedIdentityCredential: ManagedIdentityCredential authentication unavailable, no managed identity endpoint found.
SharedTokenCacheCredential: SharedTokenCacheCredential authentication unavailable. No accounts were found in the cache.
VisualStudioCodeCredential: Azure Active Directory error '(invalid_grant) AADSTS700082: The refresh token has expired due to inactivity. The token was issued on 2020-06-07T03:58:48.4708462Z and was inactive for 90.00:00:00.

我尝试通过以下方式登录 Azureaz 登录但这不会刷新凭据。

编辑:我尝试了 documentation 中找到的一些其他配置。奇怪的是 Azure CLI 凭据可以正常工作，因为这看起来像是默认凭据处理的场景之一。

Answer 1

如果使用 az login 访问 Key Vault，则 AzureCliCredential() 和 DefaultAzureCredential() 理论上都可以正常工作。但错误显示在您问题中的 VisualStudioCodeCredential() 处。

VisualStudioCodeCredential:如果用户已登录 Visual Studio Code Azure 帐户扩展，DefaultAzureCredential 将以该用户的身份进行身份验证。

DefaultAzureCredential 尝试按此顺序通过以下机制进行身份验证，成功后停止:

因此，您需要使用 AzureCliCredential() 或设置 exclude_visual_studio_code_credential=true 以确保跳过 VisualStudioCode。

有关 Azure Identity 的更多详细信息，请参阅 here .