如何通过AZ CLI更新Azure中API Connection的密钥？

问题背景 #

通过Bicep创建了跨租户Blob存储的API Connection（采用servicePrincipalAuth认证），手动硬编码密钥可正常运行，但密钥需定期轮换，尝试AZ CLI更新失败，且az resource show无法查询到token:clientSecret属性，GUI也无法更新该密钥。

关键说明 #

token:clientSecret作为敏感参数，Azure会自动掩码处理，因此az resource show无法返回真实值，这是正常行为，不影响更新操作。

解决方案 #

方法1：直接用AZ CLI --set 参数更新密钥

使用az resource update命令直接指定密钥字段路径，替换为新密钥：

az resource update \
  --resource-group <你的资源组名称> \
  --name blob1apiconnection \
  --resource-type Microsoft.Web/connections \
  --set properties.parameterValueSet.values.'token:clientSecret'.value=<新的客户端密钥>

注意：执行命令的账号需拥有Microsoft.Web/connections/write权限，且确保参数路径中的引号正确（避免Shell解析错误）。

方法2：结合Key Vault实现自动化密钥轮换

若密钥存储在Azure Key Vault中，可直接从Vault获取最新密钥并更新API Connection，适合自动化场景：

# 从Key Vault获取最新密钥值
NEW_SECRET=$(az keyvault secret show --name <Key Vault中存储的密钥名称> --vault-name <Key Vault名称> --query "value" -o tsv)

# 更新API Connection
az resource update \
  --resource-group <你的资源组名称> \
  --name blob1apiconnection \
  --resource-type Microsoft.Web/connections \
  --set properties.parameterValueSet.values.'token:clientSecret'.value="$NEW_SECRET"

可将上述命令封装为Azure Automation Runbook、GitHub Actions或Azure DevOps Pipeline，定期执行实现密钥自动轮换。

方法3：基于现有资源JSON结构更新

若需确保完整参数集不变，可先导出现有连接的配置，修改密钥后重新提交：

1. 导出现有连接配置：

az resource show --resource-group <你的资源组名称> --name blob1apiconnection --resource-type Microsoft.Web/connections > connection-config.json

2. 编辑connection-config.json，在properties.parameterValueSet.values中添加/修改"token:clientSecret": {"value": "<新密钥>"}
3. 提交更新：

az resource update \
  --resource-group <你的资源组名称> \
  --name blob1apiconnection \
  --resource-type Microsoft.Web/connections \
  --properties @connection-config.json

常见失败原因排查 #

• 参数路径错误：确保token:clientSecret的引号转义正确，Shell环境中需用单引号包裹字段名
• 权限不足：执行账号需具备目标资源组的API Connection写入权限
• 参数集名称不匹配：更新时需保证parameterValueSet.name仍为servicePrincipalAuth，避免覆盖认证方式

内容的提问来源于stack exchange，提问作者Albert Romkes