如何在ARM模板中部署无值的Azure Key Vault密钥？

核心问题拆解 #

你遇到的本质问题是：ARM模板部署密钥时，若指定value字段（哪怕是占位符）会覆盖后续手动更新的值；若不指定则模板报错；现有方案（条件标签、流水线变量库、Key Vault参数引用）存在复杂度、重复存储或循环依赖的弊端。以下是几个无明显弊端的实用解决方案：

方案1：仅定义密钥元数据，依赖ARM增量部署特性 #

操作步骤 #

1. 在ARM模板中定义Microsoft.KeyVault/vaults/keys资源时，完全省略properties.key.value字段，只配置密钥的元数据（名称、密钥类型kty、密钥大小keySize、启用状态enabled、轮换策略rotationPolicy等）：

   "resources": [
     {
       "type": "Microsoft.KeyVault/vaults/keys",
       "name": "[concat(variables('vaultName'), '/', variables('keyName'))]",
       "apiVersion": "2023-02-01",
       "properties": {
         "kty": "RSA",
         "keySize": 2048,
         "enabled": true,
         "rotationPolicy": {
           "attributes": {
             "expiryTime": "P1Y"
           }
         }
       }
     }
   ]
   

2. 第一次部署时，Key Vault会自动生成一个初始密钥版本（未指定value时的默认行为）。
3. 后续手动通过门户/CLI创建新的密钥版本后，再次运行ARM模板部署（默认增量模式），由于模板未指定value，ARM只会同步你定义的元数据（如轮换策略），不会覆盖已手动更新的密钥值。

优势 #

• 完全依赖ARM原生特性，无需额外工具或复杂逻辑。
• 既实现了密钥基础配置的版本化管理，又避免了硬编码和覆盖问题。
• 增量部署模式是ARM默认行为，无需额外配置。

注意事项 #

• 禁止使用完整部署模式，否则会删除未在模板中定义的资源或覆盖现有配置。

方案2：条件部署密钥，仅在不存在时创建 #

操作步骤 #

在ARM模板中为密钥资源添加condition属性，判断密钥是否已存在，仅在首次部署时创建：

"resources": [
  {
    "type": "Microsoft.KeyVault/vaults/keys",
    "name": "[concat(variables('vaultName'), '/', variables('keyName'))]",
    "apiVersion": "2023-02-01",
    "condition": "[not(contains(resourceIds('Microsoft.KeyVault/vaults/keys'), concat(variables('vaultName'), '/', variables('keyName'))))]",
    "properties": {
      "kty": "RSA",
      "keySize": 2048,
      "enabled": true,
      "rotationPolicy": {
        "attributes": {
          "expiryTime": "P1Y"
        }
      }
    }
  }
]

• 首次部署：密钥不存在，条件为true，自动生成初始密钥版本。
• 后续部署：密钥已存在，条件为false，跳过密钥资源的部署，完全不影响已手动更新的密钥。

优势 #

• 彻底隔离模板部署与手动密钥更新，无任何覆盖风险。
• 条件逻辑简洁，仅需一行判断，不会大幅增加模板复杂度。

注意事项 #

• 若后续需要更新密钥元数据（如调整轮换策略），需临时移除condition字段部署一次，或单独编写元数据更新模板。

方案3：模板仅部署Key Vault，密钥通过Post-Deployment脚本创建 #

操作步骤 #

1. ARM模板仅包含Key Vault的基础配置，不定义任何密钥资源。
2. 部署完成后，通过Azure CLI/PowerShell脚本（可嵌入流水线或手动执行）创建密钥：

   # Azure CLI示例：创建自动生成初始版本的密钥
   az keyvault key create --vault-name <你的密钥库名称> --name <你的密钥名称> --kty RSA --size 2048
   

3. 后续手动通过门户/CLI更新密钥版本即可，无需担心模板干扰。

优势 #

• 模板逻辑极简，仅专注于Key Vault的核心配置。
• 密钥创建完全独立，无任何模板冲突风险。

适用场景 #

• 不需要在ARM模板中集中管理密钥定义的场景，更适合流水线自动化部署后手动配置密钥的需求。

内容的提问来源于stack exchange，提问作者user1531921