Azure函数应用部署槽位Key Vault访问策略配置错误致部署失败

你的部署失败核心原因是使用的Key Vault访问策略资源配置不符合Azure ARM的部署规则，该问题在新增部署槽位、策略条目从1条变为2条后触发：

• 你当前引用的Microsoft.KeyVault/vaults/accessPolicies@2016-10-01API版本，使用add模式写入策略时，单个访问策略资源仅支持添加1条访问规则。之前仅配置生产函数应用1条策略时可以正常部署，新增staging槽位后你在同一个资源下传入2条规则，会触发资源写入校验失败、冲突报错。
• 额外需要排查：你的functionAppSlot.bicep模块是否为staging槽位单独开启了系统分配托管身份。部署槽位默认不会自动生成独立MSI，如果未显式开启，模块输出的msi值会为空或者返回生产函数的身份ID，也会导致策略写入失败。

错误参考截图：

方法1：拆分单资源多策略为多资源单策略（兼容现有API版本） #

修改keyVaultAccessPolicy.bicep的资源定义，遍历传入的策略列表，为每个待授权的身份创建独立的访问策略资源，保证每个资源仅对应1条规则，修改后代码如下：

resource accessPolicies 'Microsoft.KeyVault/vaults/accessPolicies@2016-10-01' = [for (policyItem, idx) in policies: {
  name: '${name}/add-${idx}'
  properties: {
    accessPolicies: [
      {
        tenantId: tenantId
        objectId: policyItem.objectId
        permissions: {
          secrets: policyItem.permissions
        }
      }
    ]
  }
}]

方法2：升级API版本支持批量添加策略 #

将Key Vault资源API升级到2023-02-01版本，该版本的add操作支持单次传入多条访问策略，不需要拆分资源，修改后代码如下：

// 先引用跨资源组的已存在Key Vault实例
resource targetKeyVault 'Microsoft.KeyVault/vaults@2023-02-01' existing = {
  name: name
}

resource accessPolicies 'Microsoft.KeyVault/vaults/accessPolicies@2023-02-01' = {
  parent: targetKeyVault
  name: 'add'
  properties: {
    accessPolicies: [for item in policies: {
      tenantId: tenantId
      objectId: item.objectId
      permissions: {
        secrets: item.permissions
      }
    }]
  }
}

必做校验项 #

确认functionAppSlot.bicep中已经为staging部署槽位显式开启系统分配托管身份，示例配置如下：

resource functionSlot 'Microsoft.Web/sites/slots@2022-09-01' = {
  name: '${functionAppName}/staging'
  location: location
  // 必须显式配置身份块，否则槽位不会生成独立MSI
  identity: {
    type: 'SystemAssigned'
  }
  // 其余应用配置省略
}

// 输出槽位独立MSI的对象ID
output msi string = functionSlot.identity.principalId

内容的提问来源于stack exchange，提问作者user989988