如何通过Bicep部署使用托管标识访问存储账户的Azure Function App？

有大量开发者成功通过Bicep/ARM实现这类部署，你的模板存在几个关键问题导致存储容器和主机密钥未自动创建，以下是修正方案及说明：

核心问题分析 #

1. 权限配置冗余且未精准匹配需求

   • 同时配置Storage Blob Owner和Storage Contributor属于权限过度，仅需Storage Blob Data Contributor角色（权限ID：ba92f5b4-2d11-453d-a403-e96b0029c9fe）即可满足Function App创建容器、存储主机密钥的需求。
   • 角色分配存在Azure AD权限传播延迟，Function App启动时可能权限尚未生效，导致初始化失败。

2. 缺失关键应用配置项

   • 未指定AzureWebJobsStorage__clientId，Function App无法明确要使用的用户托管标识实例，无法完成身份验证流程。

3. 依赖关系不完整

   • Function App仅依赖单个角色分配，需确保所有必要权限配置完成后再启动应用。

修正后的Bicep模板 #

@description('Specifies region of all resources.')
param location string = resourceGroup().location

@description('Suffix for function app, storage account, and key vault names.')
param appNameSuffix string = uniqueString(resourceGroup().id)

@description('Storage account SKU name.')
param storageSku string = 'Standard_LRS'

var functionAppName = 'fn-${appNameSuffix}'
var appServicePlanName = 'FunctionPlan'
var storageAccountName = 'fnstor${replace(appNameSuffix, '-', '')}'
var functionRuntime = 'dotnet'

// 存储账户
resource storageAccount 'Microsoft.Storage/storageAccounts@2021-04-01' = {
  name: storageAccountName
  location: location
  sku: {
    name: storageSku
  }
  kind: 'StorageV2'
  properties: {
    supportsHttpsTrafficOnly: true
    encryption: {
      services: {
        file: { keyType: 'Account', enabled: true }
        blob: { keyType: 'Account', enabled: true }
      }
      keySource: 'Microsoft.Storage'
    }
    accessTier: 'Hot'
  }
}

// 用户托管标识
var managedIdName = 'id-${functionAppName}'
resource managedIdentity 'Microsoft.ManagedIdentity/userAssignedIdentities@2018-11-30' = {
  name: managedIdName
  location: location
}

// 存储Blob数据贡献者角色（仅需此权限）
var blobDataContributorRoleId = 'ba92f5b4-2d11-453d-a403-e96b0029c9fe'
resource roleDefinitionBlobDataContributor 'Microsoft.Authorization/roleDefinitions@2018-01-01-preview' existing = {
  scope: resourceGroup()
  name: blobDataContributorRoleId
}

// 角色分配
resource roleAssignmentBlobData 'Microsoft.Authorization/roleAssignments@2020-04-01-preview' = {
  name: guid(functionAppName, blobDataContributorRoleId)
  scope: storageAccount
  properties: {
    roleDefinitionId: roleDefinitionBlobDataContributor.id
    principalId: managedIdentity.properties.principalId
    principalType: 'ServicePrincipal' // 明确主体类型，避免歧义
  }
}

// 应用服务计划（消耗计划）
resource plan 'Microsoft.Web/serverfarms@2020-12-01' = {
  name: appServicePlanName
  location: location
  kind: 'functionapp'
  sku: {
    name: 'Y1'
    tier: 'Dynamic'
  }
  properties: {}
}

// Function App
resource functionApp 'Microsoft.Web/sites@2020-12-01' = {
  name: functionAppName
  location: location
  kind: 'functionapp'
  identity: {
    type: 'UserAssigned'
    userAssignedIdentities: {
      '${managedIdentity.id}': {}
    }
  }
  properties: {
    serverFarmId: plan.id
    siteConfig: {
      appSettings: [
        // 托管标识访问AzureWebJobsStorage的核心配置
        {
          name: 'AzureWebJobsStorage__accountname'
          value: storageAccountName
        }
        {
          name: 'AzureWebJobsStorage__blobServiceUri'
          value: 'https://${storageAccount.name}.blob.core.windows.net'
        }
        {
          name: 'AzureWebJobsStorage__clientId'
          value: managedIdentity.properties.clientId // 关键缺失项：指定托管标识Client ID
        }
        // 运行时配置
        {
          name: 'FUNCTIONS_WORKER_RUNTIME'
          value: functionRuntime
        }
        {
          name: 'FUNCTIONS_EXTENSION_VERSION'
          value: '~4'
        }
        // 可选：启用运行时从包部署（避免文件存储依赖）
        {
          name: 'WEBSITE_RUN_FROM_PACKAGE'
          value: '1'
        }
      ]
    }
    httpsOnly: true
  }
  dependsOn: [
    roleAssignmentBlobData
    storageAccount
  ]
}

部署后验证步骤 #

1. 部署完成后，等待5-10分钟让Azure AD角色权限完全传播。
2. 在Azure门户重启Function App。
3. 检查存储账户，确认自动创建了azure-webjobs-hosts容器。
4. 进入Function App的“密钥”页面，验证主机密钥已生成。

内容的提问来源于stack exchange，提问作者Rob Bowman