如何在Azure Bicep的一个模块中引用另一个模块创建的资源？

你可以通过模块输出+参数传递的方式，在orchestration.bicep中获取storage.bicep里存储账户的关键属性，具体操作步骤如下：

1. 在storage.bicep中添加输出 #

在storage.bicep文件末尾添加存储账户的完整资源ID（用于角色分配的scope）：

resource storageAccountTemp 'Microsoft.Storage/storageAccounts@2021-08-01' = {
  name: 'tmpst4dnbnlp'
  location: location
  sku: {
    name: storageAccountSku
  }
  kind: 'StorageV2'
  properties: {
    allowBlobPublicAccess: false
    accessTier: 'Hot'
  }
}

// 输出存储账户的完整资源ID，供其他模块调用
output storageAccountResourceId string = storageAccountTemp.id

2. 在main.bicep中传递输出值给orchestration模块 #

在main.bicep里分别调用两个模块时，将storage模块的输出作为参数传递给orchestration模块，同时指定各自的资源组：

// 调用存储账户模块，指定其所在资源组
module storageModule './storage.bicep' = {
  name: 'storage-deployment'
  scope: resourceGroup('storage-resource-group') // 替换为存储账户实际资源组名称
  params: {
    location: 'eastus'
    storageAccountSku: 'Standard_LRS'
  }
}

// 调用Logic App模块，指定其所在资源组，并传入存储账户属性
module orchestrationModule './orchestration.bicep' = {
  name: 'orchestration-deployment'
  scope: resourceGroup('logicapp-resource-group') // 替换为Logic App实际资源组名称
  params: {
    roleDefinitionId: 'b24988ac-6180-42a0-ab88-20f7382dd24c' // Contributor角色的固定ID
    storageAccountScope: storageModule.outputs.storageAccountResourceId
  }
}

3. 在orchestration.bicep中接收参数并完成角色分配 #

修改orchestration.bicep，添加输入参数并使用传入的存储账户资源ID设置角色分配的scope：

// 定义输入参数
param roleDefinitionId string
param storageAccountScope string

// Logic App定义（保留原有配置，确保启用系统托管身份）
resource logicAppTest 'Microsoft.Logic/workflows@2019-05-01' = {
  name: 'your-logicapp-name'
  location: location
  identity: {
    type: 'SystemAssigned'
  }
  // 其他Logic App配置...
}

// 为Logic App的系统身份分配存储账户Contributor角色
resource logicAppStorageAccountRoleAssignment 'Microsoft.Authorization/roleAssignments@2020-10-01-preview' = {
  scope: storageAccountScope
  name: guid('ra-logicapp-${roleDefinitionId}-${storageAccountScope}')
  properties: {
    principalType: 'ServicePrincipal'
    roleDefinitionId: subscriptionResourceId('Microsoft.Authorization/roleDefinitions', roleDefinitionId)
    principalId: logicAppTest.identity.principalId
  }
}

关键说明 #

• 跨资源组的模块无法直接引用对方的资源对象，必须通过输出属性+参数传递的方式共享关键值
• 角色分配的scope必须使用存储账户的完整资源ID，不能用resourceGroup()（因为分属不同资源组）
• 角色分配的name加入存储账户标识，可避免跨部署的同名冲突

内容的提问来源于stack exchange，提问作者Tim