Set-AzKeyVaultSecret更新Key Vault密钥无变更仍生成新版本咨询

该需求可直接实现。
Set-AzKeyVaultSecret 本身没有内置值比对逻辑，只要执行调用就会生成新的密钥版本，和传入的密钥值是否与现有值重复无关，你只需要在脚本中补充前置校验逻辑，就能实现仅值变更时才生成新版本的效果。

• 先判断目标密钥是否存在，存在则拉取当前最新版本的明文密钥值
• 将待写入的新密钥值与拉取到的现有值做全等比对
• 仅当密钥不存在、或者新旧值不一致时，才调用Set-AzKeyVaultSecret执行写入操作，避免无意义的版本生成

# 配置业务参数
$keyVaultName = "目标Key Vault实例名称"
$secretName = "待操作的密钥名称"
$newSecretValue = "准备写入的新密钥明文值"

# 拉取当前已存在的密钥最新版本
$existingSecret = Get-AzKeyVaultSecret -VaultName $keyVaultName -Name $secretName -ErrorAction SilentlyContinue

$needUpdate = $false
if (-not $existingSecret) {
    # 密钥不存在，直接走新建流程
    $needUpdate = $true
} else {
    # 转换现有密钥为明文做比对
    $existingSecretPlain = $existingSecret.SecretValue | ConvertFrom-SecureString -AsPlainText
    if ($existingSecretPlain -ne $newSecretValue) {
        $needUpdate = $true
    }
}

if ($needUpdate) {
    # 转换新值为接口要求的SecureString格式
    $secureNewValue = ConvertTo-SecureString $newSecretValue -AsPlainText -Force
    # 执行写入操作，生成新版本
    Set-AzKeyVaultSecret -VaultName $keyVaultName -Name $secretName -SecretValue $secureNewValue
    Write-Host "检测到密钥值变化，已完成更新并生成新版本"
} else {
    Write-Host "密钥值无实质变化，跳过更新操作"
}

• 运行脚本的身份（用户账号、托管标识、服务主体）需要提前授予目标Key Vault的secrets/get和secrets/set权限，否则会出现拉取现有值失败、无写入权限的报错
• 如果存储的密钥是非文本内容（比如二进制证书、文件流），可以先将新旧值统一转为Base64编码后再做比对，避免编码格式差异导致的比对误判
• 如果业务需要同时更新密钥的标签、过期时间、内容类型等元数据，即使密钥值不变也需要执行更新，可以根据实际需求调整判断逻辑

内容的提问来源于stack exchange，提问作者user3934763