Terraform部署Azure应用网关报SecretIdSpecifiedIsInvalid错误

这个错误是Terraform配置中填写的Key Vault证书ID路径错误导致的。
你报错日志里的ID路径是/certificates/开头的证书实体标识，但Azure Application Gateway引用Key Vault存储的SSL证书时，接口只接受对应证书自动同步生成的/secrets/路径下的机密实体标识。
你在Azure门户手动部署时，前端选完证书后，后台会自动把证书路径转换为对应机密路径再提交给资源提供程序，所以手动部署不会触发这个校验错误，直接复制Key Vault证书页面的ID填到Terraform里就会报参数无效。

• 打开对应Key Vault实例，进入「机密」面板，找到和你SSL证书完全同名的机密条目——Key Vault生成或导入证书时，会自动在机密库生成同名条目，存储包含完整私钥的PFX证书内容。
• 进入该机密的当前启用版本详情页，复制「机密标识符」字段的值，格式为https://<你的Key Vault名称>.vault.azure.net/secrets/<证书名称>/<版本ID>，确认路径段为secrets而非certificates。
• 修改Terraform中应用网关ssl_certificate配置块的key_vault_secret_id参数值，替换为上一步复制的机密标识符，示例配置如下：

resource "azurerm_application_gateway" "poc" {
  # 其余基础配置省略
  ssl_certificate {
    name                = "poc-cert-admin"
    key_vault_secret_id = "https://pockv-iaps.vault.azure.net/secrets/poc-cert-admin/xxxxxxxxxx"
  }
}

• 确认应用网关使用的托管身份，已经被授予Key Vault中对应机密的Get权限：如果用Key Vault访问策略模式，需要在机密权限里勾选Get；如果用Azure RBAC模式，分配Key Vault Secrets User角色即可，不要只分配证书的读取权限。
• 执行terraform plan确认配置变更无误后，重新运行terraform apply即可完成部署。

如果替换路径后仍然报错，逐一检查以下配置：

• Key Vault网络访问配置允许应用网关所在子网访问，且已开启「允许受信任的Microsoft服务绕过此防火墙」选项
• 存储的证书格式符合应用网关要求：包含完整证书链、私钥长度不低于2048位、未设置不支持的密码保护
• 引用的机密ID是带版本号的完整ID，不要省略末尾的版本号段

内容的提问来源于stack exchange，提问作者mahi