如何在ARM模板中创建Azure Function函数级密钥？

我之前也碰到过一模一样的问题——ARM模板确实没有原生的资源类型直接支持创建函数级密钥，Microsoft.Web/sites/host/functionKeys这个类型仅针对主机级密钥。不过我们可以通过ARM模板的**部署脚本（Deployment Script）**来调用你已经验证过的密钥管理API，间接实现这个需求。

解决方案：使用ARM部署脚本调用密钥管理API #

下面是一个完整的ARM模板示例，它会在部署过程中自动调用API生成指定函数的自定义密钥：

{
  "$schema": "https://schema.management.azure.com/schemas/2019-04-01/deploymentTemplate.json#",
  "contentVersion": "1.0.0.0",
  "parameters": {
    "appServiceName": {
      "type": "string",
      "metadata": {
        "description": "Name of your Azure Function App"
      }
    },
    "functionName": {
      "type": "string",
      "metadata": {
        "description": "Name of the specific function to create a key for"
      }
    },
    "functionKeyName": {
      "type": "string",
      "defaultValue": "PortalFunctionKey",
      "metadata": {
        "description": "Name of the custom function key"
      }
    }
  },
  "variables": {
    "functionAppHostUrl": "[concat('https://', parameters('appServiceName'), '.azurewebsites.net')]",
    "masterKeyResourceId": "[concat(resourceId('Microsoft.Web/sites', parameters('appServiceName')), '/host/default/listKeys')]"
  },
  "resources": [
    {
      "type": "Microsoft.Resources/deploymentScripts",
      "apiVersion": "2020-10-01",
      "name": "CreateFunctionKeyScript",
      "location": "[resourceGroup().location]",
      "kind": "AzurePowerShell",
      "properties": {
        "forceUpdateTag": "[utcNow()]",
        "azPowerShellVersion": "7.2",
        "timeout": "PT5M",
        "scriptContent": "
          $masterKey = (Invoke-AzResourceAction -ResourceId '${variables('masterKeyResourceId')}' -Action listKeys -Force).functionKeys.master
          $apiUrl = '${variables('functionAppHostUrl')}/admin/functions/${parameters('functionName')}/keys/${parameters('functionKeyName')}?code=' + $masterKey
          $body = @{ name = '${parameters('functionKeyName')}' } | ConvertTo-Json
          $result = Invoke-RestMethod -Uri $apiUrl -Method Post -Body $body -ContentType 'application/json'
          Write-Output ($result | ConvertTo-Json -Compress)
        ",
        "cleanupPreference": "OnSuccess",
        "retentionInterval": "P1D"
      }
    }
  ],
  "outputs": {
    "functionKeyDetails": {
      "type": "object",
      "value": "[json(reference('CreateFunctionKeyScript').outputs.result)]"
    }
  }
}

关键部分解释： #

• 安全获取Master Key：通过Invoke-AzResourceAction调用主机的listKeys操作，动态拿到API认证所需的master密钥，完全避免硬编码密钥的风险。
• API请求构造：严格按照密钥管理API的格式拼接请求URL，包含函数名称、目标密钥名称和master密钥参数。
• 部署脚本特性：用forceUpdateTag确保每次部署都会执行脚本（避免缓存跳过），设置合理的超时时间，部署成功后自动清理脚本资源，减少冗余。

额外提示： #

1. 确保部署ARM模板的身份（你的账号或服务主体）拥有对Function App的Microsoft.Web/sites/host/listKeys/action权限，否则无法获取master密钥。
2. 如果你需要自定义密钥值，只需在请求body里添加value字段即可，比如@{ name = 'MyKey'; value = 'MySecureCustomValue123' }，不指定的话Azure会自动生成随机安全密钥。
3. 模板的outputs部分会返回生成的密钥详情，包括密钥名称和值，方便后续使用。

这个方法本质上是把你手动调用API的流程自动化嵌入到ARM部署中，完美绕开了ARM原生不支持函数级密钥创建的限制。

内容的提问来源于stack exchange，提问作者Emmanuel Justice