ARM模板部署时如何正确引用Key Vault密钥标签

• resourceId函数参数写法错误：代码中直接传入'subscriptionId'、'resourceGroup'字符串字面量，ARM不会自动将其识别为当前部署的订阅、资源组上下文，会直接尝试匹配名为subscriptionId的订阅、名为resourceGroup的资源组，无法定位到正确的源密钥资源。
• 源Key Vault权限配置缺失：默认Key Vault会禁止ARM部署读取密钥的全量元数据（包括标签、属性值），必须提前开启源Key Vault的「允许Azure资源管理器部署访问」配置，同时部署所用身份（用户/服务主体/托管标识）需要拥有源Key Vault的Microsoft.KeyVault/vaults/secrets/read权限，否则reference函数会返回403权限错误。
• API版本选择问题：2021-04-01-preview属于预览版API，存在密钥标签返回结构不稳定的问题，部分场景下标签不会出现在返回对象的根级tags属性下，会导致取值为空。

先完成前置配置校验：

• 源Key Vault已开启ARM模板部署访问权限
• 部署身份对源Key Vault下的目标密钥拥有读取权限

根据源密钥所在的范围选择对应代码写法：

1. 源密钥与当前模板部署在同订阅同资源组
   取密钥全量标签集合：

   "[reference(resourceId('Microsoft.KeyVault/vaults/secrets', 'SourceKV', 'Secret'), '2023-02-01', 'Full').tags]"
   

   取单个指定标签值（例如标签键为tagName）：

   "[reference(resourceId('Microsoft.KeyVault/vaults/secrets', 'SourceKV', 'Secret'), '2023-02-01', 'Full').tags.tagName]"
   

2. 源密钥与当前模板部署跨资源组/跨订阅
   需要在resourceId中传入实际的订阅ID、资源组名称，禁止使用占位字符串，示例：

   // 跨资源组场景，示例为取同订阅下名为rg-source的资源组中的密钥标签
   "[reference(resourceId('rg-source', 'Microsoft.KeyVault/vaults/secrets', 'SourceKV', 'Secret'), '2023-02-01', 'Full').tags]"
   
   // 跨订阅场景，示例为取订阅ID为xxxx-xxxx、资源组为rg-source下的密钥标签
   "[reference(resourceId('xxxx-xxxx', 'rg-source', 'Microsoft.KeyVault/vaults/secrets', 'SourceKV', 'Secret'), '2023-02-01', 'Full').tags]"
   

注意：生产环境优先选择2023-02-01及以上的稳定版Key Vault资源API，不要使用预览版API，稳定版API的密钥标签返回结构一致性更强，不会出现字段偏移问题。如果需要同步全量标签到目标Key Vault的密钥，直接将上述取到的tags对象赋值给目标密钥资源的tags属性即可，无需逐个标签单独赋值。

内容的提问来源于stack exchange，提问作者TamKap