如何在ARM/Bicep中获取KV密钥版本配置Azure SQL BYOK/TDE？

一、Bicep/ARM模板层面的可行方案 #

你遇到的警告核心原因是：Microsoft.KeyVault/vaults/keys的keyUriWithVersion属于运行时属性，而Microsoft.Sql/servers/keys的name字段要求部署启动时即可计算的静态值，直接解析运行时属性会触发校验拦截。

要在模板中动态获取最新密钥版本，可通过listKeys函数结合现有资源引用实现，具体代码如下：

param keyVaultName string
param keyVaultKeyName string
param sqlServerName string

// 引用已存在的KeyVault密钥
resource keyVaultKey 'Microsoft.KeyVault/vaults/keys@2023-02-01' existing = {
  name: '${keyVaultName}/${keyVaultKeyName}'
}

// 调用listKeys获取所有密钥版本，取最新版本的kid
var keyVersions = listKeys(keyVaultKey.id, keyVaultKey.apiVersion)
var latestKeyKid = last(keyVersions.value).kid
var latestKeyVersion = last(split(latestKeyKid, '/'))

// 构造符合要求的SQL服务器密钥名称
var sqlServerKeyName = '${keyVaultName}_${keyVaultKeyName}_${latestKeyVersion}'

// 部署SQL服务器密钥
resource sqlServerKey 'Microsoft.Sql/servers/keys@2022-05-01-preview' = {
  name: '${sqlServerName}/${sqlServerKeyName}'
  properties: {
    serverKeyType: 'AzureKeyVault'
    uri: keyVaultKey.properties.keyUriWithVersion
  }
}

// 部署加密保护资源
resource sqlEncryptionProtector 'Microsoft.Sql/servers/encryptionProtector@2022-05-01-preview' = {
  name: '${sqlServerName}/current'
  properties: {
    serverKeyType: 'AzureKeyVault'
    serverKeyName: sqlServerKey.name
  }
}

关键说明： #

• 部署主体需拥有KeyVault的keys/list权限，否则listKeys函数会执行失败
• 此方法在TDE场景下完全合规，能自动获取最新密钥版本，无需手动维护参数
• 若密钥版本更新，重新部署模板即可让SQL切换到新版本密钥

二、PowerShell备选方案 #

如果模板方法受权限或环境限制，可通过PowerShell先获取最新密钥版本，再传入模板参数，示例代码如下：

# 配置基础参数
$keyVaultName = "your-keyvault-name"
$keyVaultKeyName = "your-key-name"
$sqlServerName = "your-sql-server-name"
$resourceGroupName = "your-resource-group"
$templatePath = "./sql-tde-byok.bicep" # 替换为你的模板路径

# 获取KeyVault中指定密钥的最新版本
$latestKey = Get-AzKeyVaultKey -VaultName $keyVaultName -Name $keyVaultKeyName
$latestKeyVersion = $latestKey.Version

# 构造SQL服务器密钥名称（符合Azure要求的格式：{kv-name}_{key-name}_{version}）
$sqlServerKeyName = "$keyVaultName`_$keyVaultKeyName`_$latestKeyVersion"

# 部署Bicep模板，传入动态获取的参数
New-AzResourceGroupDeployment -ResourceGroupName $resourceGroupName `
  -TemplateFile $templatePath `
  -sqlServerName $sqlServerName `
  -keyVaultName $keyVaultName `
  -keyVaultKeyName $keyVaultKeyName `
  -sqlServerKeyName $sqlServerKeyName `
  -latestKeyVersion $latestKeyVersion

方案优势： #

• 完全规避模板的静态计算限制，适配复杂权限场景
• 可集成到自动化流程（如Azure DevOps Pipeline），实现密钥版本的自动轮换与SQL配置更新

三、通用注意事项 #

• 确保SQL服务器的服务主体已在KeyVault访问策略中被授予get密钥权限，否则无法读取密钥
• 密钥版本更新后，需重新部署SQL服务器密钥和加密保护资源，才能生效
• 旧密钥版本未被删除前，SQL仍能访问加密数据，可安全执行密钥轮换操作

内容的提问来源于stack exchange，提问作者Audrius B