如何在创建Azure PostgreSQL服务器时从Key Vault读取管理员密码

问题1验证结论 #

你加单引号传递参数的写法，最终会把完整的@Microsoft.KeyVault(...)引用字符串设为PostgreSQL管理员密码，完全不会读取Key Vault中存储的实际密钥值。
原因：@Microsoft.KeyVault()是Azure App Service（WebApp）专属的配置引用语法，只有WebApp的配置系统会自动识别该格式、用WebApp的托管身份拉取密钥值，PostgreSQL的创建命令没有内置该解析逻辑，只会把传入的字符串直接当做密码保存。

问题2报错原因与权限说明 #

• 你去掉单引号后的语法报错和PostgreSQL的Key Vault权限无关：(在shell中属于特殊控制字符，未被引号包裹时会被shell当做命令块标识符解析，自然会抛出语法异常。
• 你不需要提前给未创建的PostgreSQL服务器配置Key Vault权限：因为你当前的场景是执行命令的终端/CI/CD代理先从Key Vault拿密码，再把实际密码值传给PostgreSQL创建接口，全程不需要PostgreSQL自身访问Key Vault。

1. 先在执行命令的环境中，用当前Azure登录身份拉取Key Vault中的密码存为变量：

# 拉取密钥存到变量，运行该命令的身份需要提前配置Key Vault的secret get权限
adminPassword=$(az keyvault secret show --name AdminPassWord --vault-name <你的KeyVault名称> --query value -o tsv)

2. 再执行PostgreSQL创建命令，用双引号包裹变量避免特殊字符解析问题：

az postgres server create \
--location $(location) \
--resource-group $(ResourceGroupName) \
--name $(PostgresServerName) \
--admin-user $(AdminUserName) \
--admin-password "$adminPassword" \
--sku-name $(pgSkuName)

如果是在CI/CD流水线中运行，提前给流水线的服务主体配置对应Key Vault的get secret权限即可。

内容的提问来源于stack exchange，提问作者Jaana