ARM模板部署报错：AzureWebJobsSecretStorageType配置及函数URL获取问题

通过YAML流水线结合ARM模板部署消耗型Logic App和**Azure Function（.NET 6，4.x）**组合时遇到以下问题：

1. 部署阶段AzureResourceGroupDeployment@2任务报错：

   ##[error]Conflict: System.InvalidOperationException: Runtime keys are stored on blob storage. This API doesn't support this configuration. Please change Environment variable AzureWebJobsSecretStorageType value to 'Files'
   

2. 添加AzureWebJobsSecretStorageType=Files环境变量后部署成功，但Logic App执行时无法从Key Vault读取密钥。
3. 定位到问题源于ARM模板中动态获取函数Webhook URL的代码：

   "uri": "[listsecrets(variables('webhook_function_name'),'2015-08-01').trigger_url]"
   

   硬编码URL可正常部署，但执行时调用步骤无法运行，需要替代的动态获取语法。

方案1：使用listCallbackUrl API获取触发器URL #

Azure Functions 4.x默认使用Blob存储密钥，旧的listsecrets API不支持该配置，改用专门的listCallbackUrl API（需使用2022-09-01及以上版本的API）：

"uri": "[listCallbackUrl(resourceId('Microsoft.Web/sites/functions', variables('function_app_name'), variables('webhook_function_name')), '2022-09-01').url]"

• 注意：resourceId需正确指定函数应用名称和目标函数名称；该API仅适用于HTTP触发器类型的函数。

方案2：从Key Vault读取预存的函数URL #

1. 部署Azure Function时，将带密钥的触发器URL存入Key Vault的密钥项中；
2. 在ARM模板中通过Key Vault API读取该URL：

"uri": "[reference(resourceId('Microsoft.KeyVault/vaults/secrets', variables('key_vault_name'), 'FunctionWebhookUrl'), '2023-02-01').secretUriWithVersion]"

• 需确保Logic App拥有Key Vault的secrets/get权限，避免读取失败。

方案3：通过身份验证连接器调用（推荐） #

放弃在ARM模板中硬编码/动态拼接URL，改用Logic App的Azure Functions连接器，结合系统分配身份验证：

1. 为Azure Function启用系统分配托管身份；
2. 在Logic App中添加Azure Functions连接器，选择"使用托管身份"验证方式；
3. 直接选择目标函数，无需手动处理URL和密钥。

• 该方式符合Azure安全最佳实践，避免密钥暴露，同时解决配置冲突问题。

额外注意 #

不要修改AzureWebJobsSecretStorageType为Files，该配置会导致函数密钥存储在本地文件系统，与Key Vault的密钥读取逻辑冲突，是导致Logic App读取密钥失败的直接原因。

内容的提问来源于stack exchange，提问作者arung