Bicep中如何访问数组内现有Web App的托管标识？

错误原因 #

你遇到的BCP178错误核心是：部署初始化阶段无法解析现有资源的动态属性。当你把existing资源对象存入变量数组时，Bicep需要在部署启动前确定数组的全部内容，但identity.principalId属于需要从Azure API拉取的动态属性，无法在初始化阶段计算，因此依赖静态迭代集合的for循环会触发报错。

方案1：基于资源名称数组遍历，动态引用现有资源 #

直接使用Web App名称的静态数组作为循环基础，在每个迭代中动态获取对应现有资源的托管标识：

// 定义Web App名称的静态数组
var webAppNames = [
  'a1'
  'a2'
  'a3'
  'a4'
]

resource keyVault 'Microsoft.KeyVault/vaults@2022-07-01' = {
  name: keyVaultName
  location: location
  tags: tags
  properties: {
    sku: {
      family: 'A'
      name: 'standard'
    }
    tenantId: tenantId
    enablePurgeProtection: false
    enableSoftDelete: true
  }
}

// 遍历名称数组，为每个Web App添加访问策略
resource keyVaultAccessPolicies 'Microsoft.KeyVault/vaults/accessPolicies@2022-07-01' = [for webAppName in webAppNames: {
  name: 'add'
  parent: keyVault
  properties: {
    accessPolicies: [
      {
        tenantId: tenantId
        // 动态引用现有Web App的托管标识主体ID
        objectId: resource('Microsoft.Web/sites@2022-03-01', webAppName).identity.principalId
        permissions: {
          secrets: [
            'get'
            'list'
          ]
        }
      }
    ]
  }
}]

方案2：保留现有资源定义，直接遍历资源对象 #

如果需要保留单独的existing资源定义，可以直接在for循环中使用资源对象的字面量数组，避免将资源对象存入变量（变量会触发初始化阶段的属性解析）：

// 定义现有Web App资源
resource app1 'Microsoft.Web/sites@2022-03-01' existing = {
  name: 'a1'
}

resource app2 'Microsoft.Web/sites@2022-03-01' existing = {
  name: 'a2'
}

resource app3 'Microsoft.Web/sites@2022-03-01' existing = {
  name: 'a3'
}

resource app4 'Microsoft.Web/sites@2022-03-01' existing = {
  name: 'a4'
}

resource keyVault 'Microsoft.KeyVault/vaults@2022-07-01' = {
  name: keyVaultName
  location: location
  tags: tags
  properties: {
    sku: {
      family: 'A'
      name: 'standard'
    }
    tenantId: tenantId
    enablePurgeProtection: false
    enableSoftDelete: true
  }
}

// 直接遍历资源对象数组，无需存入变量
resource keyVaultAccessPolicies 'Microsoft.KeyVault/vaults/accessPolicies@2022-07-01' = [for webApp in [app1, app2, app3, app4]: {
  name: 'add'
  parent: keyVault
  properties: {
    accessPolicies: [
      {
        tenantId: tenantId
        objectId: webApp.identity.principalId
        permissions: {
          secrets: [
            'get'
            'list'
          ]
        }
      }
    ]
  }
}]

关键注意点 #

• 现有资源的id、name、type属于静态属性，可在部署初始化阶段确定；而identity、properties下的大部分属性属于动态属性，需要在部署过程中从Azure API获取。
• 避免将包含动态属性的资源对象存入变量数组，因为变量会在初始化阶段被完全解析，导致动态属性无法正常加载。

内容的提问来源于stack exchange，提问作者michasaucer