如何通过Bicep或相关方法安全自动写入Azure资源密钥/连接字符串至Key Vault？

方案1：优化Bicep模板，利用Azure部署的敏感数据保护机制 #

你之前的写法可以通过调整规避明文风险：

• 先确保Key Vault启用软删除和不可恢复删除，降低泄露风险。
• 调整Bicep代码，直接用listKeys返回值拼接连接字符串——Azure部署过程中不会记录listKeys返回的敏感值，仅会保留占位符，同时不要将连接字符串设为部署输出参数暴露。

调整后的示例代码：

param keyVaultName string
param storageAccountName string
param secretName string

resource storageAccount 'Microsoft.Storage/storageAccounts@2023-01-01' existing = {
  name: storageAccountName
}

resource keyVault 'Microsoft.KeyVault/vaults@2023-02-01' existing = {
  name: keyVaultName
}

resource storageConnStringSecret 'Microsoft.KeyVault/vaults/secrets@2023-02-01' = {
  parent: keyVault
  name: secretName
  properties: {
    value: 'DefaultEndpointsProtocol=https;AccountName=${storageAccount.name};AccountKey=${listKeys(storageAccount.id, storageAccount.apiVersion).keys[0].value};EndpointSuffix=${environment().suffixes.storage}'
  }
}

注意：部署时要保证执行主体（服务主体/用户）拥有Key Vault的SetSecret权限，以及存储账户的ListKeys权限。

方案2：使用Azure部署脚本创建秘密 #

如果担心Bicep直接拼接的风险，可以用部署脚本在运行时生成并写入秘密，脚本执行日志不会记录敏感内容：

param keyVaultName string
param storageAccountName string
param secretName string

resource storageAccount 'Microsoft.Storage/storageAccounts@2023-01-01' existing = {
  name: storageAccountName
}

resource keyVault 'Microsoft.KeyVault/vaults@2023-02-01' existing = {
  name: keyVaultName
}

resource createSecretScript 'Microsoft.Resources/deploymentScripts@2023-08-01' = {
  name: 'CreateStorageConnStringSecret'
  location: resourceGroup().location
  kind: 'AzurePowerShell'
  properties: {
    azPowerShellVersion: '9.4'
    scriptContent: '''
      $storageAccount = Get-AzStorageAccount -Name "${storageAccountName}" -ResourceGroupName "${resourceGroup().name}"
      $connString = $storageAccount.Context.ConnectionString
      Set-AzKeyVaultSecret -VaultName "${keyVaultName}" -Name "${secretName}" -SecretValue (ConvertTo-SecureString $connString -AsPlainText -Force)
    '''
    cleanupPreference: 'OnSuccess'
    retentionInterval: 'PT1H'
  }
}

此方案中，脚本直接获取存储账户连接字符串并写入Key Vault，敏感数据不会在模板或部署记录中暴露。需确保部署脚本的托管标识拥有存储账户读取权限和Key Vault的SetSecret权限。

方案3：利用Azure资源的自动密钥轮换功能 #

对支持自动轮换的资源（存储账户、SQL数据库等），可配置Key Vault与资源集成，实现凭据自动同步和轮换：

• 为Key Vault启用密钥轮换功能，设置轮换策略。
• 存储账户可配置Key Vault作为密钥管理工具，自动将存储账户密钥同步为Key Vault秘密并定期轮换。
• SQL数据库可结合Azure AD身份认证与Key Vault动态秘密，彻底避免手动管理连接字符串。

关键注意事项 #

• 遵循最小权限原则，仅给操作主体（部署用户、服务主体、托管标识）授予必要的ListKeys、SetSecret等权限。
• 启用Key Vault日志记录到Log Analytics，便于审计秘密的创建和访问操作。
• 禁止在Bicep模板中硬编码敏感信息，所有参数通过安全方式传入（如Azure DevOps变量组、GitHub Secrets）。

内容的提问来源于stack exchange，提问作者Simon