Key Vault事件网格无密钥标签，如何添加或寻求替代实现方案？

一、获取Key Vault标签信息的可行方式 #

Event Grid的Key Vault事件默认确实不携带标签字段，但事件数据里包含了密钥的唯一资源ID。你可以在PowerShell Runbook中，通过这个ID调用Azure模块命令，主动拉取密钥的完整元数据（包括标签），完全能满足你的两个目标需求：

示例代码片段 #

# 从Event Grid事件中提取核心信息
$eventData = $EventGridEvent.Data
$vaultName = $eventData.VaultName
$secretName = $eventData.ObjectName

# 获取密钥完整元数据（包含标签）
$secret = Get-AzKeyVaultSecret -VaultName $vaultName -Name $secretName -IncludeVersions $false
$contactEmail = $secret.Tags["contact"]
$keyType = $secret.Tags["keyType"]

通过这种方式，你既能拿到用于发送过期提醒的收件人邮箱，也能获取自动轮换所需的密钥类型标签。

二、无需标签的替代方案 #

如果出于特殊场景不想依赖标签，可选用以下几种方式：

1. 统一密钥命名规范 #

给密钥/证书设定固定命名规则，通过名称直接携带关键信息，比如：

• 格式示例：[密钥类型]-[环境]-[用途]-contact=收件人邮箱，例如SQL-Prod-Admin-contact=admin@contoso.com
• Runbook中通过字符串拆分提取信息：

$secretName = $eventData.ObjectName
# 提取收件人邮箱
$contactEmail = ($secretName -split "-contact=")[1]
# 提取密钥类型
$keyType = ($secretName -split "-")[0]

2. 利用密钥备注字段 #

在Key Vault创建密钥时，将联系人邮箱、密钥类型等信息写入**备注（Notes）**字段，Runbook获取密钥时读取该字段：

$secretNotes = $secret.Attributes.Notes
# 假设备注格式为"contact: admin@contoso.com; type: SQL"
$contactEmail = ($secretNotes -split ";")[0].Split(": ")[1]
$keyType = ($secretNotes -split ";")[1].Split(": ")[1]

3. 外部映射存储 #

用Azure Storage Table或Azure SQL数据库维护一张映射表，存储密钥ID/名称与联系人、密钥类型的对应关系。Runbook收到事件后，根据密钥ID查询映射表获取信息：

# 示例：查询Azure Storage Table
$storageAccount = Get-AzStorageAccount -ResourceGroupName "rg-name" -Name "storage-name"
$table = Get-AzStorageTable -Name "KeyVaultMappings" -Context $storageAccount.Context
$partitionKey = $vaultName
$rowKey = $secretName
$mapping = Get-AzTableRow -table $table -partitionKey $partitionKey -rowKey $rowKey
$contactEmail = $mapping.ContactEmail
$keyType = $mapping.KeyType

4. 关联身份源属性 #

如果是应用注册的密钥，可在AAD应用的自定义属性中存储轮换类型；如果是本地AD账号，用AD扩展属性记录相关信息。Runbook根据密钥关联的身份，去对应的源（AAD/本地AD）查询属性。

内容的提问来源于stack exchange，提问作者hada