如何验证Bicep可从Azure Key Vault正确读取密钥值？

以下是几种实用的验证方式，无需直接输出密钥明文：

• 部署依赖资源验证功能
  在main.bicep里部署一个需要用到这些密钥的实际资源，比如SQL Server，将secureUserName和securePassword设为该资源的管理员凭据。部署完成后，尝试用凭据登录资源，能正常访问就说明密钥读取成功。示例代码：

  resource sqlServer 'Microsoft.Sql/servers@2022-05-01-preview' = {
    name: 'test-sql-server-demo'
    location: resourceGroup().location
    properties: {
      administratorLogin: secureUserName
      administratorLoginPassword: securePassword
      version: '12.0'
    }
  }
  

  部署后可以通过Azure门户或sqlcmd工具尝试登录SQL Server，验证凭据有效性。

• 用what-if命令检查引用状态
  运行Azure CLI命令：

  az deployment group what-if --resource-group <你的资源组名称> --template-file main.bicep --parameters @你的参数文件.bicepparam
  

  命令输出不会显示密钥明文，但会标注参数来自Key Vault的具体路径，比如secureUserName: "[secureString from key vault exampleKeyVault/exampleSecretUserName]"。如果没有权限错误或找不到密钥的报错，说明Bicep已正确识别密钥引用，且权限配置无误。

• 检查权限与部署日志
  确认执行部署的主体（用户或服务主体）在Key Vault的访问策略中拥有secrets/get权限。如果部署过程中没有出现“权限不足”“密钥不存在”这类错误，说明密钥读取的链路是通的。另外查看Azure门户的部署日志，无相关错误也能侧面验证读取成功。

• 临时输出密钥哈希值（测试专用）
  在main.bicep中添加输出密钥哈希值的代码，通过对比哈希值验证密钥是否正确读取，不会泄露明文：

  output userNameHash string = sha256(secureUserName)
  output passwordHash string = sha256(securePassword)
  

  部署后获取输出的哈希值，和你本地用同样算法计算的密钥明文哈希对比，一致则说明读取的密钥正确。测试完成后务必删除该输出代码，避免信息暴露。

内容的提问来源于stack exchange，提问作者Bombbe