如何在Bicep中通过getSecret()将AKV值传入环境变量？

方法1：通过变量复用AKV Secret值 #

在主模板中先将AKV的secret存储为变量，即可在多个模块中直接引用，规避getSecret()只能在模块内字符串/对象中使用的限制：

1. 在主模板中定义变量获取secret：

// 从现有AKV实例获取secret，存储为变量
var adminLogin = kv.getSecret('administratorLogin')
var adminPassword = kv.getSecret('administratorLoginPassword')

2. 在PostgreSQL模块和Container App模块的参数中直接使用这些变量：

• PostgreSQL模块的administratorLogin和administratorLoginPassword参数替换为变量
• Container App模块的环境变量value字段直接引用变量

完整修改后的主模板代码：

resource containerAppEnvironment 'Microsoft.App/managedEnvironments@2022-11-01-preview' existing = {
  name: containerAppEnvironmentName
}

resource kv 'Microsoft.KeyVault/vaults@2023-02-01' existing = {
  name: kvName
  // scope: resourceGroup(subscriptionId, kvResourceGroup )
}

// 从AKV获取secret并存储为变量，供多个模块复用
var adminLogin = kv.getSecret('administratorLogin')
var adminPassword = kv.getSecret('administratorLoginPassword')

module postgresql '../../../../../../iac-modules/Infra-As-Code/Modules/Bicep/DBforPostgreSQL/flexibleServers.bicep' = {
  name: 'postgresql-flexibleServers'
  params: {
    namingConventionProperties: namingConventionProperties
    shortName: shortName
    location: location
    tags: tags
    administratorLogin: adminLogin
    administratorLoginPassword: adminPassword
    postgresqlServerVersion: postgresqlServerVersion
    skuName: skuName
    skuTier: skuTier
    skuSizeGB: skuSizeGB
    availabilityZone: availabilityZone
    psqlMetadata : {
      sharedResourceGroup: sharedResourceGroupName
      privEndpointSubnetName: privEndpointSubnetName
      sharedVnetName: sharedVnetName
      pvtDnsZone: {
        resourceGroupName: privDnsSharedResourceGroup
        subscriptionId: privDnsSubscriptionId
        privateDnsZoneName: privateDnsZoneName
      }
    }
  }
}

module database '../../../../../../iac-modules/Infra-As-Code/Modules/Bicep/DBforPostgreSQL/Databases/database.bicep' = {
  name: 'postgresqlDb'
  params: {
    dbName : dbName
    postgresqlName: postgresql.name
    charset: charset
    collation: collation
  }
}

module ContainerApp '../../../../../../iac-modules/Infra-As-Code/Modules/Bicep/ContainerApps/containerApps.bicep' = {
  name: 'ContainerAppDeploy'
  params: {
    namingConventionProperties: namingConventionProperties
    location: location
    tags: tags
    shortName: shortName
    identityType: identityType
    containerAppEnvironmentName: containerAppEnvironment.id
    containerImage: containerImage
    useExternalIngress: useExternalIngress
    containerPort: containerPort
    containerResouceCpu: containerResouceCpu
    containerResouceMemory: containerResouceMemory
    containerAppName: containerAppName
    transportMethod: transportMethod
    environmentVariables: [
      {
        name: 'SONAR_JDBC_USERNAME'
        value: adminLogin
      }
      {
        name: 'SONAR_JDBC_PASSWORD'
        value: adminPassword
      }
      {
        name: 'SONAR_JDBC_URL'
        value: 'jdbc:postgresql://${postgresql.outputs.postgresqlURL}:5432/sonarqube?user=${adminLogin}&password=${adminPassword}&sslmode=require'
      }
      {
        name: 'SONAR_SEARCH_JAVAADDITIONALOPTS'
        value: '-Dnode.store.allow_mmap=false'
      }
    ]
    maxReplicas: maxReplicas
    minReplicas: minReplicas
  }
  dependsOn: [
    postgresql
  ]
}

方法2：使用Key Vault引用（更安全，推荐） #

这种方式不需要在Bicep中传递明文secret值，而是让Container App直接从AKV读取，避免敏感信息在部署过程中暴露：

1. 给Container App的身份添加AKV访问权限：

// 给AKV添加访问策略，允许Container App身份读取secret
resource kvAccessPolicy 'Microsoft.KeyVault/vaults/accessPolicies@2023-02-01' = {
  parent: kv
  name: 'add-containerapp-access'
  properties: {
    accessPolicies: [
      {
        tenantId: subscription().tenantId
        objectId: ContainerApp.outputs.principalId // 替换为Container App的系统/用户分配身份ID
        permissions: {
          secrets: ['Get']
        }
      }
    ]
  }
}

2. 在Container App的环境变量中使用secretRef字段，指定AKV中的secret名称：

environmentVariables: [
  {
    name: 'SONAR_JDBC_USERNAME'
    secretRef: 'administratorLogin' // 对应AKV中的secret名称
  }
  {
    name: 'SONAR_JDBC_PASSWORD'
    secretRef: 'administratorLoginPassword'
  }
  // JDBC URL建议在应用内部拼接用户名和密码，避免在Bicep中处理敏感值
  {
    name: 'SONAR_JDBC_URL_BASE'
    value: 'jdbc:postgresql://${postgresql.outputs.postgresqlURL}:5432/sonarqube?sslmode=require'
  }
  {
    name: 'SONAR_SEARCH_JAVAADDITIONALOPTS'
    value: '-Dnode.store.allow_mmap=false'
  }
]

注意事项 #

• 方法1虽然不会在部署输出中暴露secret，但仍建议优先使用方法2，遵循敏感信息不落地的安全原则
• 若必须在Bicep中拼接JDBC URL，需确保部署后的资源配置不会泄露敏感内容
• 需确保AKV的访问策略同时允许部署身份（如执行部署的用户/服务主体）和Container App身份读取secret

内容的提问来源于stack exchange，提问作者Akshay Durgade