使用ARM模板创建Azure Key Vault后遭遇403权限问题求助

一、AZ CLI与ARM模板部署Key Vault的核心差异 #

• AZ CLI创建Key Vault时，执行命令的当前身份（用户/服务主体）会被自动添加到Key Vault的访问策略中，默认拥有包括密钥读写在内的全权限，这也是你之前代码能正常运行的原因。
• 从Azure门户导出的ARM模板，仅包含Key Vault的基础配置（如位置、名称、enabled-for-deployment开关等），不会自动添加任何访问策略——模板只会部署一个“干净”的Key Vault，没有预授权任何身份的访问权限。

二、问题根源：缺失Web应用服务主体的访问策略 #

你遇到的403错误，是因为Web应用使用的服务主体（对应你配置的AZURE_CLIENT_ID）没有被授予Key Vault的secrets/set权限，Key Vault拒绝了该身份的请求。

三、解决方案：在ARM模板中添加访问策略 #

1. 编辑ARM模板，新增accessPolicies配置 #

在Key Vault的资源定义里，加入accessPolicies节点，给Web应用的服务主体配置所需权限：

{
  "type": "Microsoft.KeyVault/vaults",
  "apiVersion": "2023-07-01",
  "name": "[parameters('name')]",
  "location": "[parameters('location')]",
  "properties": {
    "enabledForDeployment": true,
    "tenantId": "[parameters('tenant')]",
    "sku": {
      "family": "A",
      "name": "standard"
    },
    "accessPolicies": [
      {
        "tenantId": "[parameters('tenant')]",
        "objectId": "[parameters('webAppServicePrincipalObjectId')]",
        "permissions": {
          "secrets": ["set", "get", "list"] // 根据业务需求调整权限范围
        }
      }
    ]
  }
}

说明：

• objectId：需要填写Web应用服务主体的对象ID（不是Client ID），可通过命令az ad sp show --id <你的AZURE_CLIENT_ID> --query id -o tsv获取。
• permissions.secrets：至少要包含set权限，你可以根据代码需求额外添加get、list等权限。

2. 更新部署命令，传递必要参数 #

在部署命令中加入webAppServicePrincipalObjectId参数：

az deployment group create --resource-group $groupName \
--template-file $armTemplatePath \
--parameters $armTemplateParams \
--parameters name=$name \
--parameters tenant=${{ secrets.DEPLOYMENT_AZURE_TENANT_ID }} \
--parameters webAppServicePrincipalObjectId=<获取到的服务主体ObjectID>

3. 验证权限配置 #

部署完成后，可通过以下命令确认访问策略已生效：

az keyvault show --name $name --resource-group $groupName --query properties.accessPolicies

如果需要临时验证，也可以在Azure门户的Key Vault页面进入「访问策略」选项卡，手动添加Web应用服务主体并配置权限，但推荐通过ARM模板配置以保证部署的一致性和自动化。

内容的提问来源于stack exchange，提问作者Unnamed