如何让Bicep模板与Azure门户/CLI生成相同RBAC角色分配GUID？

我正在为服务主体（Service Principal）和用户部署RBAC角色，使其能在资源范围访问Key Vault中的密钥。在Bicep模板中，我通过roleId、服务主体ID和Key Vault ID组合生成GUID作为角色分配资源名称，首次部署和重复部署均正常。但如果该角色已通过Azure门户创建，Bicep部署会触发RoleAssignmentExists错误，原因是门户创建的角色分配使用了不同的GUID。我希望模板即使在角色已通过命令行或门户创建时仍可重新部署，请问如何让Bicep生成与Azure门户或azure-cli相同的GUID？

相关Bicep代码：

//# kvRoles.bicep
@description('Assigns the Crypto Secrets user to the provided principal ID.')
resource kvRoleAssignment 'Microsoft.Authorization/roleAssignments@2022-04-01' = {
  name: guid(roleIds['Key Vault Secrets User'], principalId, keyVault.id)
  scope: keyVault
  properties: {
    roleDefinitionId: roleIds['Key Vault Secrets User']
    principalId: principalId
    principalType: 'Service Principal'
  }
}

Azure CLI创建角色分配示例：

az role assignment create \
  --assignee $userId \
  --role 'Key Vault Crypto User' \
  --scope "/subscriptions/$subId/resourceGroups/$rgName/providers/Microsoft.KeyVault/vaults/$kvName" \
  --query 'name'
# name = "0000404d-0000-0000-0000-0000b7b90000"

方法1：生成与Azure门户/CLI一致的角色分配GUID #

Azure门户和CLI生成角色分配GUID的逻辑是：基于角色定义ID的最后一段（角色GUID）、主体ID、资源范围ID三个值，通过MD5哈希并调整字节顺序生成符合RFC 4122变体1的GUID，而Bicep默认的guid()函数使用SHA-1哈希，因此生成的GUID不一致。

在Bicep中可以模拟这一逻辑：

@description('Assigns the Key Vault Secrets User to the provided principal ID.')
resource kvRoleAssignment 'Microsoft.Authorization/roleAssignments@2022-04-01' = {
  // 提取角色定义ID的最后一段（核心角色GUID）
  var roleGuid = last(split(roleIds['Key Vault Secrets User'], '/'))
  // 拼接哈希输入字符串：角色GUID + 换行符 + 主体ID + 换行符 + Key Vault资源ID
  var hashInput = '${roleGuid}\n${principalId}\n${keyVault.id}'
  // 计算MD5哈希（32位十六进制字符串）
  var md5Hex = md5(hashInput)
  
  // 调整字节顺序以匹配Azure的GUID生成规则
  var part1 = substring(md5Hex, 6, 2) + substring(md5Hex, 4, 2) + substring(md5Hex, 2, 2) + substring(md5Hex, 0, 2)
  var part2 = substring(md5Hex, 10, 2) + substring(md5Hex, 8, 2)
  var part3 = substring(md5Hex, 14, 2) + substring(md5Hex, 12, 2)
  var part4 = substring(md5Hex, 16, 4)
  var part5 = substring(md5Hex, 20, 12)
  
  // 组合成最终的角色分配GUID
  name: '${part1}-${part2}-${part3}-${part4}-${part5}'
  scope: keyVault
  properties: {
    roleDefinitionId: roleIds['Key Vault Secrets User']
    principalId: principalId
    principalType: 'Service Principal'
  }
}

方法2：复用现有角色分配（更稳妥） #

不需要强行生成一致的GUID，而是通过existing关键字查找已存在的符合条件的角色分配，存在则复用，不存在则创建，彻底避免冲突问题：

// 查找已有的角色分配：匹配角色定义ID、主体ID和Key Vault范围
resource existingKvRoleAssignment 'Microsoft.Authorization/roleAssignments@2022-04-01' existing = {
  scope: keyVault
  filter: properties.roleDefinitionId eq '${roleIds['Key Vault Secrets User']}' and properties.principalId eq '${principalId}'
}

// 创建或复用角色分配
resource kvRoleAssignment 'Microsoft.Authorization/roleAssignments@2022-04-01' = if (!exists(existingKvRoleAssignment)) {
  name: guid(roleIds['Key Vault Secrets User'], principalId, keyVault.id)
  scope: keyVault
  properties: {
    roleDefinitionId: roleIds['Key Vault Secrets User']
    principalId: principalId
    principalType: 'Service Principal'
  }
} else {
  existing: existingKvRoleAssignment
}

注意：filter参数需要Microsoft.Authorization/roleAssignments API版本2020-04-01-preview及以上支持，本文使用的2022-04-01版本完全兼容。

内容的提问来源于stack exchange，提问作者Daniel M.