Azure DevOps ARM模板部署：如何判断是新建还是更新现有资源组

核心判断逻辑 #

ARM模板没有内置参数直接标识当前是首次部署资源组还是更新现有部署，你可以通过检测目标资源是否已存在来间接实现条件部署，针对你的KeyVault机密场景，直接判断目标机密是否存在即可，不需要判断整个资源组的部署状态，精准度更高。

具体实现步骤 #

• 首先确保你的ARM模板部署使用增量模式（默认部署模式，不要使用完整模式，避免误删未定义资源）
• 在KeyVault机密资源定义中添加condition属性，通过exists()函数判断机密是否已存在，仅当机密不存在时才执行部署
  示例模板片段如下：

{
  "type": "Microsoft.KeyVault/vaults/secrets",
  "apiVersion": "2023-02-01",
  "name": "[concat(parameters('keyVaultName'), '/', variables('targetSecretName'))]",
  "location": "[resourceGroup().location]",
  // 核心条件：仅当机密不存在时才部署该资源
  "condition": "[not(exists(resourceId('Microsoft.KeyVault/vaults/secrets', parameters('keyVaultName'), variables('targetSecretName'))))]",
  "properties": {
    "value": "[variables('dummyInitValue')]", // 你预设的虚拟初始值
    "contentType": "text/plain"
  }
}

注意事项 #

• 部署使用的服务主体需要持有KeyVault的机密创建权限，不会影响后续管理员在Portal修改机密值的操作
• 只要机密已存在，模板部署时会直接跳过该资源的创建/更新流程，不会覆盖现有真实机密值
• 不需要在模板或变量库中存储真实机密值，完全符合KeyVault的安全设计规范
• 如果你确实需要判断整个资源组是否为首次部署，可以检测资源组内的核心标记资源（比如你部署的第一个核心服务资源）是否存在，判断逻辑和上面一致

内容的提问来源于stack exchange，提问作者AnimaSola