用户分配托管标识的 Azure 逻辑应用问题

Question

在连接到 keyvault（用户服务提供商连接）时，我真的很难让用户分配的托管身份适用于 azure 逻辑应用程序。使用系统分配的身份时，相同的工作流程很好，因此我得出的结论是，问题在于配置要使用的用户分配的身份。

在运行逻辑应用程序时，当它尝试连接到 keyvault 时，我始终收到此错误：

operationName='keyVault.getSecret'，消息='执行 KeyVault 操作时发生未知错误'，异常='Microsoft.Azure.Workflows.Common.ErrorResponses.ErrorResponseMessageException：无法获取逻辑应用中托管标识的 oauth 令牌。响应：'{“statusCode”：400，“message”：“无法加载正确的托管身份。”

遵循 MS 文档： https://learn.microsoft.com/en-us/azure/azure-functions/functions-reference?tabs=azurewebjobsstorage&pivots=programming-language-csharp#common-properties-for-identity-based-connections

我尝试在逻辑应用上创建以下环境变量：

keyVault__credential：托管身份 keyVault__clientId：

或者，我也尝试过：

keyVault__credential：托管身份 keyVault__ ManagedIdentityResourceId：

用户分配的身份根据需要对密钥库具有访问策略（秘密获取/列表）。

任何人都可以提供有关如何正确设置的建议吗？

Answer 1

您需要执行以下步骤，以使用用户分配的托管标识从逻辑应用中的 Key Vault 中获取机密值。

1. 链接用户将托管标识实例分配给逻辑应用。

2. 向密钥保管库中用户分配的托管标识实例授予

   Get, List

   秘密权限。

3. 我正在使用托管标识建立与 Azure Key Vault 连接器的连接。

我可以获得秘密值。