通过参数文件读取Azure Key Vault密钥到ARM模板的问题排查

我通过以下两个ARM模板文件搭建测试环境，模板通过向虚假URL发送POST请求验证参数值：

read_secret_params.json #

{
    "$schema": "https://schema.management.azure.com/schemas/2019-04-01/deploymentParameters.json#",
    "contentVersion": "1.0.0.0",
    "parameters": {
        "ftpPrivateKey": {
            "reference": {
                "keyVault": {
                    "id": "/subscriptions/dummyid/resourceGroups/dummyrg/providers/Microsoft.KeyVault/vaults/myvault"
                },
                "secretName": "mysecret"
            }
        }
    }
}

read_secret_template.json #

{
    "$schema": "https://schema.management.azure.com/schemas/2019-04-01/deploymentTemplate.json#",
    "contentVersion": "1.0.0.0",
    "parameters": {
        "ftpPrivateKey": {
            "type": "securestring"
        }
    },
    "resources": [
        {
            "type": "Microsoft.Logic/workflows",
            "apiVersion": "2019-05-01",
            "name": "read-secret",
            "location": "East US",
            "properties": {
                "definition": {
                    "$schema": "https://schema.management.azure.com/providers/Microsoft.Logic/schemas/2016-06-01/workflowdefinition.json#",
                    "contentVersion": "1.0.0.0",
                    "triggers": {
                        "Recurrence": {
                            "recurrence": {
                                "frequency": "Week",
                                "interval": 1
                            },
                            "type": "Recurrence"
                        }
                    },
                    "actions": {
                        "HTTP": {
                            "inputs": {
                                "body": "[parameters('ftpPrivateKey')]",
                                "method": "POST",
                                "uri": "https://dummysite.com"
                            },
                            "runAfter": {},
                            "type": "Http"
                        }
                    },
                    "outputs": {}
                },
                "parameters": {}
            }
        }
    ]
}

首次通过Azure门户部署时，因参数无值触发验证错误：Validation failed. Required information is missing or not valid.，我是该Key Vault的所有者，怀疑是权限问题？

为绕过验证错误，我为参数添加了默认值：

"parameters": {
    "ftpPrivateKey": {
        "type": "securestring",
        "defaultValue": "privateKeyDefault"
    }
},

部署成功后运行Logic App，发现POST请求使用的是默认值，未读取到Key Vault中的密钥。

现提出两个问题：

1. 该测试是否能证明Logic App未读取密钥？还是可能已成功读取但POST时显示默认值？
2. 若确实未读取密钥，请告知可能的原因及解决方法。

问题1：测试能否证明未读取密钥？ #

可以明确证明Logic App未读取Key Vault中的密钥。因为ARM部署时，如果参数引用了Key Vault的密钥，部署过程会将密钥值注入到模板参数中，直接替代参数引用；而如果添加了默认值，当参数引用失效时，ARM会直接使用默认值填充参数，后续Logic App运行时就只会使用这个默认值，不会再去读取Key Vault。不存在“已读取密钥但POST显示默认值”的情况——只要参数引用生效，默认值会被完全忽略，Logic App运行时使用的就是密钥值。

问题2：未读取密钥的可能原因及解决方法 #

可能原因 #

1. Key Vault访问策略未授权部署主体
   虽然你是Key Vault的所有者，但ARM部署使用的是当前登录用户的身份（或自动化部署的服务主体），而Key Vault的访问策略是独立于RBAC角色的权限控制机制，所有者角色不会自动授予读取机密的权限，必须在访问策略中明确配置。

2. 参数文件引用格式错误
   参数文件中Key Vault的ID、密钥名称可能与实际资源不匹配，比如订阅ID、资源组名称、Vault名称写错，或者mysecret密钥不存在于目标Vault中。

3. 门户部署时未正确加载参数文件
   在Azure门户部署模板时，可能未选择上传read_secret_params.json，而是手动填写参数，导致参数引用未生效，触发验证错误。

4. Key Vault启用了防火墙/虚拟网络限制
   如果Key Vault配置了防火墙或虚拟网络规则，而部署主体的IP不在允许列表内，会导致部署时无法访问密钥，进而触发参数验证错误。

解决方法 #

1. 配置Key Vault访问策略
   进入Key Vault的“访问策略”页面，添加当前部署用户（或服务主体），授予机密权限中的获取权限，保存配置。

2. 验证参数文件正确性
   核对参数文件中Key Vault的ID和密钥名称，确保与实际资源一致；可通过Azure CLI命令az keyvault secret show --name mysecret --vault-name myvault验证密钥是否存在。

3. 正确完成门户部署流程
   在Azure门户部署模板时，选择“编辑参数”->“上传文件”，选择read_secret_params.json，确认参数引用加载成功后再进行部署，不要手动修改参数值。

4. 调整Key Vault网络规则
   如果启用了防火墙，可暂时将当前部署机器的IP添加到允许列表，或在测试环境下临时将Key Vault设置为“允许访问来自所有网络”，确保部署时能正常访问密钥（生产环境需严格控制网络规则）。

内容的提问来源于stack exchange，提问作者Tokyo D