能否通过Bicep使用Key Vault Reference挂载Azure文件共享到Web App？

完全可以实现，和Azure门户手动操作的逻辑一致，核心是将存储账户访问密钥的硬编码替换为Key Vault机密引用。

前提条件 #

• Web App已配置系统分配/用户分配托管标识，且该标识拥有目标Key Vault的Secrets/Get权限
• 存储账户的访问密钥已存入Key Vault，作为机密保存

修改后的Bicep代码 #

// Parameters for the module
param appName string // Name of the existing Web App
param storageAccountName string // Name of the existing Storage Account
param keyVaultName string // Name of the existing Key Vault
param storageKeySecretName string // Name of the secret in Key Vault storing storage account access key

// Non-editable variables
var shareName = 'shared'
var mountPath = '/mounts/shared'

// Reference to the existing Web App
resource webApp 'Microsoft.Web/sites@2023-12-01' existing = {
  name: appName
}

// Reference to the existing Key Vault
resource keyVault 'Microsoft.KeyVault/vaults@2023-07-01' existing = {
  name: keyVaultName
}

resource storageSetting 'Microsoft.Web/sites/config@2021-01-15' = {
  name: 'azurestorageaccounts'
  parent: webApp
  properties: {
    '${shareName}': {
      type: 'AzureFiles'
      shareName: shareName
      mountPath: mountPath
      accountName: storageAccountName
      // 使用Key Vault机密引用，两种格式二选一
      // 格式1：通过机密URI引用
      accessKey: '@Microsoft.KeyVault(SecretUri=${keyVault.properties.vaultUri}secrets/${storageKeySecretName}/)'
      // 格式2：通过密钥库名称+机密名称引用（需确保Web App与Key Vault在同一租户）
      // accessKey: '@Microsoft.KeyVault(VaultName=${keyVaultName};SecretName=${storageKeySecretName})'
    }
  }
}

关键说明 #

• 两种Key Vault引用格式任选其一：SecretUri格式更精准，适合跨租户或需要指定机密版本的场景；VaultName+SecretName格式更简洁，适合同一租户内的资源
• 必须确保Web App的托管标识已被授予Key Vault的机密读取权限，否则挂载会失败

内容的提问来源于stack exchange，提问作者jobatthemall