BICEP避免覆盖已有KeyVault密钥的最佳实践方案咨询

你可以通过现有资源引用+条件部署的方式实现需求，不需要额外维护标签，逻辑更简洁直接：

实现思路 #

1. 先引用目标KeyVault中可能已存在的ApiKey密钥资源
2. 通过exists属性判断该密钥是否存在
3. 仅当密钥不存在时，才创建新密钥并生成GUID作为值

完整代码示例 #

param keyVaultName string

// 引用已存在的ApiKey密钥（如果部署环境中已有该密钥）
existing apikey_secret_existing 'Microsoft.KeyVault/vaults/secrets@2021-11-01-preview' = {
  name: '${keyVaultName}/ApiKey'
}

// 仅当密钥不存在时，才创建新密钥并生成GUID
resource apikey_secret 'Microsoft.KeyVault/vaults/secrets@2021-11-01-preview' = if (!apikey_secret_existing.exists) {
  name: '${keyVaultName}/ApiKey'
  properties:{
    value: newGuid()
    attributes:{
      enabled: true
    }
  }
}

额外说明 #

如果后续部署中需要引用该密钥的值，不管是首次生成的还是已存在的，都可以通过apikey_secret_existing.properties.value来获取——部署完成后，existing引用会自动指向环境中实际存在的密钥资源。

内容的提问来源于stack exchange，提问作者INNVTV