Bicep部署：如何处理Front Door安全策略不存在的资源未找到错误

核心解决方案 #

利用Bicep的try/前缀安全引用现有资源，结合数组合并逻辑实现「资源不存在则创建、存在则增量更新」的需求，避免普通幂等操作覆盖已有域名的问题。

具体实现步骤 #

1. 安全引用现有资源
   使用try/前缀的existing关键字引用Front Door安全策略，资源不存在时不会抛出「未找到」错误，而是返回null：

param frontDoorProfileName string = 'your-fd-profile'
param securityPolicyName string = 'your-waf-policy'
param newDomain string = 'new.yourdomain.com'

// 尝试引用现有安全策略，不存在则返回null
existing frontDoorSecurityPolicy = try {
  resource('Microsoft.Cdn/profiles/securityPolicies@2024-02-01', securityPolicyName, {
    parent: resource('Microsoft.Cdn/profiles@2024-02-01', frontDoorProfileName)
  })
}

2. 构建增量域名列表
   通过三元表达式判断资源是否存在，合并现有域名与新域名（用union自动去重）：

// 提取现有域名（资源不存在则返回空数组）
var existingDomains = frontDoorSecurityPolicy ? frontDoorSecurityPolicy.properties.parameters.wafPolicy.domainNames : []
// 合并生成最终域名列表：保留现有域名 + 添加新域名
var finalDomainList = union(existingDomains, [newDomain])

3. 创建/更新安全策略
   直接定义资源，Bicep会自动判断是创建新资源还是更新现有资源，且使用合并后的域名列表不会覆盖已有内容：

resource frontDoorSecurityPolicyResource 'Microsoft.Cdn/profiles/securityPolicies@2024-02-01' = {
  name: securityPolicyName
  parent: resource('Microsoft.Cdn/profiles@2024-02-01', frontDoorProfileName)
  properties: {
    parameters: {
      wafPolicy: {
        id: '/subscriptions/${subscription().subscriptionId}/resourceGroups/${resourceGroup().name}/providers/Microsoft.Network/frontdoorwebapplicationfirewallpolicies/${securityPolicyName}'
        domainNames: finalDomainList
      }
    }
    type: 'WebApplicationFirewall'
  }
}

关键注意事项 #

• Bicep版本要求：需使用0.14及以上版本，try/前缀是该版本引入的特性。
• 权限配置：部署账号需要具备读取现有Front Door安全策略的权限，否则即使资源存在，try也会返回null。
• 去重逻辑：union函数会自动移除重复域名，避免同一域名被多次添加。

内容的提问来源于stack exchange，提问作者Don Chambers