如何在Bicep中引用不同订阅/资源组的现有资源？

核心思路 #

无需依赖实验特性的resource类型输出，通过传递资源的订阅ID、资源组名称、资源ID这些字符串参数实现跨范围引用；或者直接在需要的地方定义existing资源引用，明确指定其所属的订阅和资源组。

方案1：通过模块传递必要参数（通用化场景） #

修改后的模块文件（myreg.bicep） #

将订阅和资源组设为可配置参数，输出字符串类型的资源标识信息：

@description('容器注册表名称')
param regName string

@description('容器注册表所在资源组名称')
param regRgName string

@description('容器注册表所在订阅ID')
param regSubId string

targetScope = 'subscription'

// 引用跨范围的现有ACR
resource myreg 'Microsoft.ContainerRegistry/registries@2023-01-01' existing = {
  name: regName
  scope: resourceGroup(regSubId, regRgName)
}

// 输出字符串类型的资源信息，无需实验特性
output acrId string = myreg.id
output acrName string = myreg.name
output acrSubscriptionId string = regSubId
output acrResourceGroupName string = regRgName

主模板调用 #

利用模块输出的参数构造角色分配的scope：

// 定义必要参数
param acrPullRoleDefinitionId string = '/subscriptions/sub1/providers/Microsoft.Authorization/roleDefinitions/7f951dda-4ed3-4680-a7ca-43fe172d538d'
param principalId string = 'principal-id-here'
param roleAssignmentName string = 'guid-here'

// 调用模块，传入目标ACR的订阅、资源组和名称
module myreg 'myreg.bicep' = {
  name: 'myreg'
  params: {
    regName: 'foo'
    regRgName: 'rg1'
    regSubId: 'sub1'
  }
  scope: subscription('sub1')
}

// 创建针对ACR的角色分配
resource roleAssignment 'Microsoft.Authorization/roleAssignments@2022-04-01' {
  name: roleAssignmentName
  // 指定角色分配所在的资源组（ACR所在的资源组）
  scope: resourceGroup(myreg.outputs.acrSubscriptionId, myreg.outputs.acrResourceGroupName)
  properties: {
    roleDefinitionId: acrPullRoleDefinitionId
    principalId: principalId
    // 明确指定权限作用范围为目标ACR
    scope: myreg.outputs.acrId
  }
}

方案2：直接在主模板引用现有资源（更简洁场景） #

如果不需要复用模块，直接在主模板里定义existing资源引用，指定其跨范围的scope：

// 定义目标ACR的参数
param acrName string = 'foo'
param acrRgName string = 'rg1'
param acrSubId string = 'sub1'

param acrPullRoleDefinitionId string = '/subscriptions/sub1/providers/Microsoft.Authorization/roleDefinitions/7f951dda-4ed3-4680-a7ca-43fe172d538d'
param principalId string = 'principal-id-here'
param roleAssignmentName string = 'guid-here'

// 直接引用跨订阅/资源组的现有ACR
resource existingAcr 'Microsoft.ContainerRegistry/registries@2023-01-01' existing = {
  name: acrName
  scope: resourceGroup(acrSubId, acrRgName)
}

// 角色分配直接关联到现有ACR
resource roleAssignment 'Microsoft.Authorization/roleAssignments@2022-04-01' {
  name: roleAssignmentName
  // 把角色分配的scope设为目标ACR，权限直接作用于该资源
  scope: existingAcr
  properties: {
    roleDefinitionId: acrPullRoleDefinitionId
    principalId: principalId
  }
}

通用规则 #

1. 引用现有跨范围资源：在existing资源定义中，通过scope: resourceGroup(subId, rgName)（资源组级资源）或scope: subscription(subId)（订阅级资源）指定目标资源所在的范围。
2. 避免实验特性：不要输出resource类型，改用字符串类型的资源ID、订阅ID、资源组名称来传递跨范围信息。
3. 资源权限分配：针对资源的角色分配，可直接将scope设为目标资源引用，或在properties.scope中指定资源ID，确保权限作用范围正确。

内容的提问来源于stack exchange，提问作者Kiran