Azure中Bot完整克隆咨询：含凭据与API范围复制方案

一、Bot克隆（含凭据、API范围）的实现方式 #

1. 部署脚本（最靠谱的方案） #

ARM/Bicep模板默认不会处理敏感凭据，所以用Azure CLI脚本是更直接的方式：

• 先导出原Bot的完整配置，包括API范围和应用注册关联信息：

  az bot show --name <原Bot名称> --resource-group <原资源组> --output json > bot-config.json
  

• 从导出的JSON里提取msaAppId、msaAppTenantId，还有API权限相关的oauthConnectionSettings字段。
• 复制凭据得手动在Azure AD应用注册里操作：
  • 导出原应用的API权限列表，在新应用里逐一添加相同权限，然后手动完成管理员同意（脚本绕不开这个交互步骤）。
  • 给新应用生成客户端密钥，记好这个密钥。
• 最后用CLI创建新Bot，把提取的配置和新凭据传进去：

  az bot create --name <新Bot名称> --resource-group <新资源组> --msa-app-id <新应用ID> --msa-app-password <新客户端密钥> --oauth-connection-settings @oauth-settings.json
  

  这里的oauth-settings.json是从原Bot配置里提取的API连接设置。

2. Azure Blueprints #

蓝图可以实现标准化的关联资源部署，但得自己手动构建蓝图定义：

• 在蓝图里添加Bot资源和对应的Azure AD应用注册资源（注意蓝图需要有AD租户级的权限）。
• 把API范围配置、权限授予步骤做成蓝图的自定义脚本或者策略环节。
• 目前官方示例很少，得自己摸索搭建，重点是处理AD应用权限的复制逻辑。

3. ARM模板现状 #

现在ARM模板还是没法自动导出或复制敏感凭据（比如客户端密钥），也不能直接复制Azure AD应用的权限授予状态。如果非要用模板：

• 导出原Bot的ARM模板，手动加上应用注册的资源定义和API权限配置。
• 部署的时候手动传入新的凭据，权限授予还是得自己去AD里操作。

二、其他资源及整个资源组的复制 #

• 单个资源：大部分Azure资源（比如VM、存储账户）可以用az resource export或者ARM/Bicep模板导出配置，但敏感数据（存储密钥、VM密码这些）照样没法自动复制，得手动填参数。
• 整个资源组：
  • 用CLI导出资源组的ARM模板：

    az group export --name <原资源组> --output json > rg-template.json
    

  • 导出的模板不含敏感凭据，部署时得手动补全这些参数。
  • 如果要包含AD租户级资源（比如应用注册），得手动在模板里加对应的资源定义，因为资源组导出默认不包含这类跨租户的资源。

内容的提问来源于stack exchange，提问作者Alex Bishka