Azure Bicep跨资源组部署Key Vault关联资源问题咨询

1. 单资源指定scope触发ParentResourceNotFound的根因 #

Bicep中直接给跨资源组的父资源指定scope属性时，其下挂载的子资源默认会继承当前模板的全局部署scope，而非父资源的自定义scope，子资源寻址时会在当前模板默认资源组下查找父资源，自然匹配失败触发报错。

以下是典型错误写法示例：

// 跨资源组引用目标Key Vault（父资源）
resource targetKv 'Microsoft.KeyVault/vaults@2023-02-01' existing = {
  name: 'cross-rg-kv'
  scope: resourceGroup('other-sub-id', 'other-rg-name') // 单独指定父资源scope
}

// 子资源会继承全局部署scope，无法匹配到跨资源组的父资源
resource kvAccessPolicy 'Microsoft.KeyVault/vaults/accessPolicies@2023-02-01' = {
  parent: targetKv
  name: 'add'
  properties: {...}
}

2. 模块scope的作用规则 #

• 调用模块时声明的scope会完全覆盖父模板的默认部署scope，模块内部所有资源、子资源的默认寻址基准都以模块指定的scope为准，和父模板全局scope没有关联。
• 模块是完全隔离的独立部署单元，你可以理解为模块就是一个单独运行的Bicep模板，部署scope完全由调用时传入的参数决定。

3. 模块内参数、for循环的作用域规则 #

• 模块内定义的参数、变量、for循环逻辑都属于模块内部作用域，不会被上层模板默认覆盖，只有你调用模块时显式传入的参数值，才会覆盖模块参数的默认值。
• 模块内的for循环迭代逻辑完全由模块内部变量、显式传入的参数控制，上层模板不会主动修改循环规则，除非你把迭代数组作为参数传入模块，由上层控制循环内容。

4. 跨资源组写入Key Vault的标准实现 #

你当前拆分模块的方案是官方推荐的正确方式，参考实现逻辑：

1. 新建独立模块kv-add-secret.bicep，内部实现密钥写入逻辑：

param keyVaultName string
param secretName string
param secretValue string
param deployPrincipalId string

resource kv 'Microsoft.KeyVault/vaults@2023-02-01' existing = {
  name: keyVaultName
}

// 配置临时访问策略
resource accessPolicy 'Microsoft.KeyVault/vaults/accessPolicies@2023-02-01' = {
  parent: kv
  name: 'add'
  properties: {
    accessPolicies: [
      {
        objectId: deployPrincipalId
        permissions: {
          secrets: [ 'set' ]
        }
        tenantId: subscription().tenantId
      }
    ]
  }
}

// 写入密钥
resource secret 'Microsoft.KeyVault/vaults/secrets@2023-02-01' = {
  parent: kv
  name: secretName
  properties: {
    value: secretValue
  }
  dependsOn: [ accessPolicy ]
}

2. 主模板调用模块时指定跨资源组scope：

// 原有单资源组存储账户创建逻辑...
param crossRgSubId string = subscription().id
param crossRgName string = 'target-resource-group'
param targetKvName string = 'cross-rg-kv'

module addCrossKvSecret './kv-add-secret.bicep' = {
  name: 'add-cross-kv-secret-deployment'
  scope: resourceGroup(crossRgSubId, crossRgName) // 指定模块部署到目标资源组
  params: {
    keyVaultName: targetKvName
    secretName: 'storage-connection-string'
    secretValue: storageAccount.properties.primaryConnectionString
    deployPrincipalId: deployment().properties.principalId
  }
}

内容的提问来源于stack exchange，提问作者Nayden Van