ARM模板中Key Vault访问策略依赖部署顺序异常求助

你遇到的核心问题是独立创建的Key Vault访问策略资源没有正确遵循依赖关系，导致它在Function部署完成前就被执行，无法获取到Function的系统托管标识ID。下面是具体的解决步骤和修正方案：

关键问题分析 #

你之前尝试的dependsOn写法存在误区：直接使用变量名（比如[variables('functionName')]）并不会让ARM识别为对应的资源依赖，ARM只会把它当作普通字符串处理，自然不会等待Function部署完成再创建访问策略。必须使用resourceId()函数生成的完整资源ID，ARM才能正确解析依赖关系。

另外，旧版本的API可能存在兼容性问题，建议使用较新的稳定版API来定义访问策略。

修正方案 #

1. 用完整resourceId()指定依赖
   访问策略的dependsOn必须明确指向Function和Key Vault的完整资源ID，而不是变量名：

   "dependsOn": [
     "[resourceId('Microsoft.Web/sites', variables('functionName'))]",
     "[resourceId('Microsoft.KeyVault/vaults', variables('keyVaultName'))]"
   ]
   

   这样ARM会明确知晓：必须等Function和Key Vault都部署完成后，再创建这个访问策略。

2. 更新访问策略的API版本
   建议把访问策略的apiVersion更新为2023-02-01（或其他最新稳定版），避免旧版本的兼容性问题。

3. 确认Function托管标识的依赖逻辑
   系统分配的托管标识是在Function部署完成后才生成principalId的，所以访问策略必须严格依赖Function的主资源，确保标识已经创建完成。

修正后的访问策略资源代码 #

{
  "type": "Microsoft.KeyVault/vaults/accessPolicies",
  "name": "[concat(variables('keyVaultName'),'/add')]",
  "apiVersion": "2023-02-01",
  "dependsOn": [
    "[resourceId('Microsoft.Web/sites', variables('functionName'))]",
    "[resourceId('Microsoft.KeyVault/vaults', variables('keyVaultName'))]"
  ],
  "properties": {
    "accessPolicies": [
      {
        "tenantId": "[subscription().tenantId]",
        "objectId": "[reference(concat(resourceId('Microsoft.Web/sites', variables('functionName')), '/providers/Microsoft.ManagedIdentity/Identities/default'), '2015-08-31-PREVIEW').principalId]",
        "permissions": {
          "keys": [],
          "secrets": [ "Get", "Set", "Delete" ],
          "certificates": []
        }
      }
    ]
  }
}

额外验证点 #

• 你的Function已经正确依赖Key Vault，所以部署顺序会是Key Vault → Function → 访问策略，这是线性依赖，完全不会产生循环依赖（循环依赖是指A依赖B，B又依赖A）。
• 确认Function的系统分配标识配置正确：你的Function资源中identity.type设为SystemAssigned是正确的，部署后会自动生成标识。

通过以上修正，ARM模板会按照正确的顺序部署资源，访问策略会在Function和Key Vault都就绪后再创建，就能成功获取到Function的托管标识ID并配置访问权限了。

内容的提问来源于stack exchange，提问作者Mark