ARM模板含密钥保管库引用的对象参数无法正常解析问题

我正在制作用于部署VM的通用ARM模板，目标是通过对象参数envVars传递配置，将其转为JSON字符串后传给自定义脚本扩展，最终映射为VM的环境变量，同时支持引用Key Vault中的机密。但目前使用string(parameters('envVars'))转换后，脚本收到的内容既没有解析Key Vault引用，也没有正确提取常规属性的value值，而单独的adminPassword参数的Key Vault引用却能正常工作。

ARM模板片段 #

"$schema": "https://schema.management.azure.com/schemas/2019-04-01/deploymentTemplate.json#",
"contentVersion": "1.0.0.0",
"languageVersion": "2.0",
"parameters": {
    "adminPassword": {
        "type": "secureString"
    },
    "envVars": {
        "type": "object",
        "defaultValue": null               
    }
}

传递参数的命令逻辑：

"commandToExecute": "[concat('powershell -ExecutionPolicy Unrestricted -File ', 'script-name.ps1', ' -envVarsJson ''', string(parameters('envVars')), '''')]"

参数文件内容 #

"$schema": "https://schema.management.azure.com/schemas/2019-04-01/deploymentParameters.json#",
"contentVersion": "1.0.0.0",
"parameters": {        
    "adminPassword": {
        "reference": {
            "keyVault": {
                "id": "/subscriptions/00000000-0000-0000-0000-000000000000/resourceGroups/my-rg/providers/Microsoft.KeyVault/vaults/my-vault"
            },
            "secretName": "admin-password"
        }
    },
    "envVars": {
        "value": {
            "apiKey": {
                "reference": {
                    "keyVault": {
                        "id": "/subscriptions/00000000-0000-0000-0000-000000000000/resourceGroups/my-rg/providers/Microsoft.KeyVault/vaults/my-vault"
                    },
                    "secretName": "api-key"
                }
            },
            "otherValue":{
                "value": "Hello World!"
            }
        }
    }
}

脚本收到的原始值：

'{apiKey:{reference:{keyVault:{id:/subscriptions/00000000-0000-0000-0000-000000000000/resourceGroups/my-rg/providers/Microsoft.KeyVault/vaults/my-vault},secretName:api-key}},otherValue:{value:Hello World!}}'

核心原因 #

ARM模板仅会自动解析顶层secureString/string类型参数的Key Vault引用，对象类型参数内部的引用不会被自动处理；同时string()函数只是直接序列化对象原始结构，不会提取value字段或解析引用内容。

解决步骤 #

1. 通用化属性解析（推荐） #

在模板中添加变量，通过迭代envVars的键值对，手动解析每个属性的引用或提取value值，再构建成目标JSON：

"variables": {
    "parsedEnvVars": "[concat(
        '{',
        join(
            map(
                keys(parameters('envVars')),
                function(key) {
                    var prop = parameters('envVars')[key];
                    var resolvedValue = if(
                        contains(prop, 'reference'),
                        reference(prop.reference.keyVault.id, '2023-02-01').getSecret(prop.reference.secretName),
                        prop.value
                    );
                    return concat('"', key, '": "', resolvedValue, '"');
                }
            ),
            ','
        ),
        '}'
    )]"
}

然后修改commandToExecute逻辑：

"commandToExecute": "[concat('powershell -ExecutionPolicy Unrestricted -File script-name.ps1 -envVarsJson ''', variables('parsedEnvVars'), '''')]"

2. 关键注意事项 #

• 使用reference函数时，需确保部署主体有Key Vault的机密读取权限，且目标机密已启用"允许模板部署访问"。
• 若涉及敏感机密，建议将解析后的JSON写入VM本地临时文件，再传递文件路径给脚本，避免明文出现在命令行历史中。

3. 简化参数文件（可选） #

如果允许在参数文件中使用动态表达式，可直接在envVars中解析机密，无需模板内处理：

"envVars": {
    "value": {
        "apiKey": "[reference(resourceId('Microsoft.KeyVault/vaults', 'my-vault'), '2023-02-01').getSecret('api-key')]",
        "otherValue": "Hello World!"
    }
}

该方式需要在部署时启用动态表达式参数支持。

内容的提问来源于stack exchange，提问作者ste-fu