ADF链接服务Key Vault引用部署异常问题求助

ADF在Git集成部署流程中，对单独存储的密码字段和完整连接字符串的KV引用处理逻辑存在差异：完整连接字符串默认会保留KV引用，但单独的密码字段默认会被解析为明文写入部署模板。你配置的arm-template-parameters-definition.json未生效，大概率是路径匹配错误或配置项不完整。

1. 修正arm-template-parameters-definition.json配置 #

针对链接服务的密码字段，需要在配置文件中显式指定其为SecureString类型并保留KV引用。以下是SQL Server链接服务的示例配置（根据你实际使用的链接服务类型调整字段名）：

{
  "Microsoft.DataFactory/factories/linkedservices": {
    "properties": {
      "typeProperties": {
        "password": {
          "parameterType": "SecureString",
          "referenceName": "password",
          "type": "AzureKeyVaultSecret"
        }
      }
    }
  }
}

• 注意匹配链接服务typeProperties下的密码字段名：比如Blob存储是accountKey，Oracle是password，需对应修改。
• 确保该文件放在ADF Git仓库的根目录（与adf_publish文件夹同级）。

2. 发布时启用保留KV引用选项 #

在ADF创作界面点击「发布」后，展开高级设置，勾选「保留Azure Key Vault引用」选项，避免发布过程中自动将KV引用替换为明文。

3. 验证目标环境KV权限 #

确保目标环境的ADF托管标识对存储密码的Key Vault拥有Get和List密钥的权限，否则即使保留了引用，链接服务也无法正常读取密码。

4. 确认创作环境链接服务配置 #

在创作环境的链接服务JSON视图中，验证密码字段的结构是否为标准KV引用格式：

"password": {
  "type": "AzureKeyVaultSecret",
  "store": {
    "referenceName": "<你的KV链接服务名称>",
    "type": "LinkedServiceReference"
  },
  "secretName": "<密码密钥名称>"
}

避免是手动输入明文后再修改为引用的异常配置。

完整连接字符串被ADF识别为单一的SecureString属性，默认会保留KV引用；而单独的密码字段属于嵌套在typeProperties中的子属性，ADF部署模板生成逻辑不会自动保留其KV引用，必须通过arm-template-parameters-definition.json显式配置覆盖。

内容的提问来源于stack exchange，提问作者Dr Schizo