如何使用Logic Apps Standard通过HTTP连接器增删Azure Key Vault密钥？

完全可以通过HTTP连接器实现Azure Key Vault密钥的新增（创建新版本）和删除操作，以下是具体配置和注意事项：

一、新增密钥（创建新版本） #

当JWT令牌过期生成新令牌后，可调用Key Vault的API添加新版本密钥。注意：Logic Apps的托管标识需要拥有Key Vault Secrets Officer角色或单独的Set Secret权限。

配置代码示例：

{
  "type": "Http",
  "inputs": {
    "uri": "https://xxxxx.vault.azure.net/secrets/DK-Test?api-version=7.3",
    "method": "PUT",
    "body": {
      "value": "替换为新生成的JWT令牌内容"
    },
    "authentication": {
      "type": "ManagedServiceIdentity",
      "audience": "https://vault.azure.net"
    }
  },
  "runAfter": {
    "生成新JWT令牌的步骤名称": ["Succeeded"]
  }
}

• method设为PUT，Key Vault创建/更新密钥的API使用PUT请求
• body中的value字段填入新生成的JWT令牌
• runAfter需指向你生成新JWT的步骤，确保令牌生成成功后再执行更新

二、删除密钥 #

若需删除旧版本密钥或整个密钥，托管标识需要拥有Key Vault Secrets Officer角色或单独的Delete Secret权限。

删除整个密钥（软删除，可恢复） #

{
  "type": "Http",
  "inputs": {
    "uri": "https://xxxxx.vault.azure.net/secrets/DK-Test?api-version=7.3",
    "method": "DELETE",
    "authentication": {
      "type": "ManagedServiceIdentity",
      "audience": "https://vault.azure.net"
    }
  },
  "runAfter": {}
}

删除特定版本的密钥 #

如果只想清理过期的密钥版本，需在URI中指定版本ID：

{
  "type": "Http",
  "inputs": {
    "uri": "https://xxxxx.vault.azure.net/secrets/DK-Test/[实际版本ID]?api-version=7.3",
    "method": "DELETE",
    "authentication": {
      "type": "ManagedServiceIdentity",
      "audience": "https://vault.azure.net"
    }
  },
  "runAfter": {}
}

版本ID可从之前读取密钥的响应id字段中提取。

三、关键注意事项 #

• 权限配置：务必在Key Vault的访问策略中给Logic Apps托管标识分配对应权限，否则会调用失败
• 过期判断逻辑：读取密钥时，Key Vault返回的响应包含attributes.exp字段（过期时间戳），可在Logic Apps中添加条件判断，对比当前时间与过期时间，触发新令牌生成和密钥更新流程
• API版本：保持api-version=7.3或使用最新兼容版本，确保API调用正常

内容的提问来源于stack exchange，提问作者Deepak Shaw