导出的ARM模板因嵌套资源名称含/无法部署，如何解决？

问题背景 #

通过Azure门户或CLI导出资源组部署模板：

az group export --name {source_resource_group_name} --include-comments --include-parameter-default-value --output json

使用该模板执行部署验证或创建操作时均失败：

az deployment group validate --resource-group {target_resource_group_name} --template-file {arm_file_path} --parameters ...

az deployment group create --name {deployment_name} --resource-group {target_resource_group_name} --template-file {arm_file_path} --parameters ...

报错信息：

{
"code": "Resource has invalid name",
"message": "Resource has invalid name Microsoft.Audio. Characters /, \\, ?, #, [, ],  , ., @, %, &, *, (, ), +, =, ;, :, ,, <, > are not allowed."
}

问题根源在于导出的模板中，KeyVault、OpenAI相关的子资源（如KeyVault密钥）被放在根级别，名称采用[concat(父资源参数名, '/子资源名')]的格式，示例：

{
  "type": "Microsoft.KeyVault/vaults/secrets",
  "apiVersion": "2024-04-01-preview",
  "name": "[concat(parameters('vaults_kv_my_random_keyvault_name'), '/my-random-secret')]",
  "location": "swedencentral",
  "dependsOn": [
    "[resourceId('Microsoft.KeyVault/vaults', parameters('vaults_kv_my_random_keyvault_name'))]"
  ],
  "properties": {
    "attributes": {
      "enabled": true
    }
  }
}

尝试将/替换为编码值或直接删除时，会触发新的模板验证错误：

{
    "code": "InvalidTemplate",    
    "message": "Deployment template validation failed: 'The template resource 'my-random-keyvault' for type 'Microsoft.CognitiveServices/accounts/defenderForAISettings' at line '1411' and column '74' has incorrect segment lengths. A nested resource type must have identical number of segments as its resource name. A root resource type must have segment length one greater than its resource name."
}

解决方法 #

1. 将子资源嵌套到父资源配置中 #

把根级别的子资源（如Microsoft.KeyVault/vaults/secrets）移动到对应父资源（Microsoft.KeyVault/vaults）的resources数组内，此时子资源的name仅需填写自身名称，无需拼接父资源名称。

修改示例：

{
  "type": "Microsoft.KeyVault/vaults",
  "apiVersion": "2024-04-01-preview",
  "name": "[parameters('vaults_kv_my_random_keyvault_name')]",
  "location": "swedencentral",
  "properties": {
    // 父资源配置内容
  },
  "resources": [
    {
      "type": "secrets",
      "apiVersion": "2024-04-01-preview",
      "name": "my-random-secret",
      "dependsOn": [
        "[resourceId('Microsoft.KeyVault/vaults', parameters('vaults_kv_my_random_keyvault_name'))]"
      ],
      "properties": {
        "attributes": {
          "enabled": true
        }
      }
    }
  ]
}

这种方式完全符合ARM模板的嵌套资源语法，可避免根级子资源的名称格式冲突。

2. 修正根级子资源的类型与名称段数匹配 #

若需保留子资源在根级别，必须严格遵循规则：资源类型的段数 = 名称按/分割后的段数 + 1。

• 例如子资源类型为Microsoft.KeyVault/vaults/secrets（3段），则名称必须是父资源名/子资源名（2段），这本身符合要求，需重点排查报错中提到的Microsoft.Audio相关资源，检查其类型是否正确、名称段数是否与类型匹配。
• 遍历所有根级子资源，逐一验证类型与名称的段数对应关系，修正不符合规范的资源配置。

3. 使用稳定版API重新导出模板 #

尝试使用最新的稳定版API导出模板，避免预览版API导出的模板存在格式问题：

az group export --name {source_resource_group_name} --include-comments --include-parameter-default-value --api-version 2023-09-01 --output json

不同API版本导出的模板结构可能存在差异，稳定版通常会生成更符合规范的模板内容。

内容的提问来源于stack exchange，提问作者D B