ARM模板部署：App Service部署槽配置Key Vault权限失败排查

问题原因 #

你当前代码用resourceId()获取部署槽资源ID后直接访问.identity.principalId，但resourceId()仅返回资源ID字符串，无法读取资源的身份属性，导致部署时表达式计算失败。

正确配置方式 #

使用reference()函数获取部署槽的完整资源对象，再读取其身份主体ID。修改后的配置代码如下：

{
  "tenantId": "[subscription().tenantId]",
  "objectId": "[reference(resourceId('Microsoft.Web/sites/slots', parameters('azureAppService').webSiteName, 'DEV'), '2022-09-01', 'Full').identity.principalId]",
  "permissions": {
    "secrets": ["Get"]
  }
}

关键说明 #

• reference()需指定资源ID、对应资源的稳定API版本（示例用2022-09-01，可根据实际情况调整），并添加'Full'参数以获取包含身份信息的完整资源数据。
• 必须确保App Service部署槽已启用系统分配或用户分配的托管身份，否则即使表达式正确，也会因不存在identity属性报错。

额外注意事项 #

部署时要保证Key Vault的部署顺序在App Service部署槽之后，或通过dependsOn显式声明依赖，确保部署槽身份创建完成后再配置权限：

{
  "type": "Microsoft.KeyVault/vaults",
  "apiVersion": "2023-02-01",
  "name": "KEYVAULT-TEST",
  "location": "[parameters('location')]",
  "dependsOn": [
    "[resourceId('Microsoft.Web/sites/slots', parameters('azureAppService').webSiteName, 'DEV')]"
  ],
  // 其他配置项
}

内容的提问来源于stack exchange，提问作者R P