【发布时间】：2021-07-29 12:59:29
【问题描述】：
我在 Azure 虚拟机上运行了一个 Python 脚本，该脚本将文件上传到存储帐户的文件共享中。虚拟机被赋予一个用户分配的托管标识，该标识具有内置的“Key Vault Secrets User”角色。
我关注 this tutorial 以允许密钥保管库自动将存储帐户访问密钥作为机密进行管理。因此，它是一个托管机密（不能通过门户查看，但通过 CLI 可见）。我的 Python 应用程序尝试从保管库中检索访问密钥，并使用它来生成对文件共享具有写入权限的 SAS 令牌。但是，当我尝试从密钥保管库中检索密钥时，我收到以下错误：
azure.core.exceptions.HttpResponseError: (Forbidden) The user, group or application 'appid=xxx;iss=https://sts.windows.net/xxx/' does not have secrets get permission on key vault 'my-vault-name;location=eastus'. For help resolving this issue, please see https://go.microsoft.com/fwlink/?linkid=2125287
我允许使用我通过门户创建的托管标识访问保管库，这是昨天的事情，因此更改肯定可以正常传播。我的流程有什么问题？除了“Key Vault Secrets User”之外，我是否需要为托管身份授予更多权限？
【问题讨论】：
标签： azure azure-storage azure-keyvault azure-managed-identity azure-rbac