如何用Bicep为Azure虚拟机规模集动态创建Key Vault访问策略

问题原因分析 #

你遇到的两个错误本质都是Bicep的求值时机限制：

• BCP247：Bicep目前不支持在lambda表达式中用索引变量访问资源数组，所以map或for循环里用index去取vmsss[index]是不允许的。
• BCP182：变量必须在部署启动前完成预计算，但VMSS的identity.principalId是Azure在部署过程中生成的动态值，无法在变量阶段提前获取。

正确解决方案 #

直接在Key Vault的资源定义（或独立的访问策略资源）中，通过循环遍历VMSS资源数组来生成访问策略，这样可以在部署阶段引用VMSS的动态生成属性。

方案1：直接在Key Vault资源中定义访问策略 #

确保你的VMSS已启用系统分配身份，然后在Key Vault的accessPolicies字段中使用for循环遍历VMSS数组：

// 先定义VMSS数组
resource vmss 'Microsoft.Compute/virtualMachineScaleSets@2023-09-01' = [for vm in virtualMachines: {
  name: 'vmss-${vm.name}'
  location: resourceGroup().location
  identity: {
    type: 'SystemAssigned' // 必须启用系统分配身份才能获取principalId
  }
  // 其他VMSS配置...
}]

// 定义Key Vault并动态生成访问策略
resource keyVault 'Microsoft.KeyVault/vaults@2023-07-01' = {
  name: 'kv-${uniqueString(resourceGroup().id)}'
  location: resourceGroup().location
  properties: {
    sku: {
      family: 'A'
      name: 'standard'
    }
    tenantId: subscription().tenantId
    enabledForDeployment: true // 根据需求启用相关功能
    accessPolicies: [for vmssInstance in vmss: {
      objectId: vmssInstance.identity.principalId
      tenantId: subscription().tenantId
      permissions: {
        secrets: ['get', 'list']
      }
    }]
  }
}

方案2：使用独立的访问策略资源（适合追加/单独管理） #

如果需要单独管理访问策略（比如后续添加其他主体的权限），可以使用Microsoft.KeyVault/vaults/accessPolicies资源，通过循环为每个VMSS添加策略：

// 已定义的VMSS数组和KeyVault资源...

// 为每个VMSS创建独立的访问策略
resource kvAccessPolicies 'Microsoft.KeyVault/vaults/accessPolicies@2023-07-01' = [for vmssInstance in vmss: {
  parent: keyVault
  name: 'add'
  properties: {
    accessPolicies: [{
      objectId: vmssInstance.identity.principalId
      tenantId: subscription().tenantId
      permissions: {
        secrets: ['get', 'list']
      }
    }]
  }
}]

注意：使用add操作会追加策略，若要替换所有现有策略，可将name改为set，但需注意会覆盖原有所有访问策略。

内容的提问来源于stack exchange，提问作者Charles