如何在ARM模板中为Web应用配置引用Key Vault的连接字符串？

该报错由部署顺序循环依赖与Web应用的Key Vault引用校验逻辑共同导致：首次部署Web应用时，Key Vault尚未完成访问策略配置、也未存储对应密钥，Web应用会将未校验通过的Key Vault引用标记为无效，后续Key Vault配置完成后Web应用不会自动触发重新校验，因此持续报错。手动重新添加连接字符串时会触发重新校验，因此可以正常生效。

方案1：拆分部署步骤 #

• 第一步：部署Web应用，仅开启系统托管标识，输出该标识的ID，暂时不配置Key Vault引用格式的连接字符串
• 第二步：部署Key Vault，完成两项配置：
  • 授予第一步输出的Web应用托管标识机密获取权限
  • 写入连接字符串密钥
• 第三步：更新Web应用配置，添加Key Vault引用格式的连接字符串，此时Key Vault的权限和密钥均已就绪，引用可直接校验通过。

方案2：单模板内通过依赖关系控制部署顺序 #

无需拆分多个部署，可在同一ARM模板中通过dependsOn隐式完成分步逻辑：

1. 定义Web应用资源，仅开启系统托管标识，连接字符串先留空或填写占位值
2. 定义Key Vault资源，通过reference()函数获取Web应用的标识ID配置访问策略，同时存入连接字符串密钥，Key Vault显式依赖Web应用完成部署：
   "dependsOn": ["[resourceId('Microsoft.Web/sites', parameters('webAppName'))]"]
3. 额外定义Microsoft.Web/sites/config类型的Web应用配置子资源，专门用于设置Key Vault引用格式的连接字符串，该资源显式依赖Key Vault完成部署：
   "dependsOn": ["[resourceId('Microsoft.KeyVault/vaults', parameters('keyVaultName'))]"]
   连接字符串的正确配置示例：

   "connectionStrings": {
     "SqlDbConn": {
       "value": "[concat('@Microsoft.KeyVault(SecretUri=https://', parameters('keyVaultName'), '.vault.azure.net/secrets/connectionString)')]",
       "type": "SQLAzure"
     }
   }
   

• Key Vault需开启允许Azure资源管理器访问以部署模板权限，否则部署过程无法完成引用校验
• 若Key Vault配置了IP访问限制，需开启允许受信任的Microsoft服务绕过防火墙配置
• Web应用托管标识的Key Vault访问策略必须包含机密获取权限，不要遗漏其他必要的机密操作权限

内容的提问来源于stack exchange，提问作者Mocas