Complete模式部署Bicep时带existing标记的已有Key Vault被删除问题

根本原因 #

你遇到的问题是Azure资源管理器Complete部署模式的特性和Bicep existing关键字的作用逻辑共同导致的：

• existing关键字的作用仅为告知Bicep该资源是已存在的、你只需要读取它的属性/调用它的方法（比如getSecret），不会将这个Key Vault加入到本次部署的「期望资源清单」中
• Complete模式的核心逻辑是：部署完成后，目标资源组中仅保留本次部署模板显式声明要创建/更新的资源，所有不在期望清单里的资源都会被自动删除。你只通过existing引用了Key Vault，但没有将它作为待部署资源声明在模板里，自然会被判定为多余资源删除。

第一次部署正常是因为：Complete模式的资源删除操作是在所有模板定义的资源部署完成后才执行的，第一次部署启动时Key Vault还存在，可以正常读取Secret完成数据库模块的部署，等部署流程走到清理步骤时Key Vault才被删除。第二次部署时Key Vault已经被清理，自然会抛出KeyVaultParameterReferenceNotFound错误。

解决方案 #

根据Key Vault的归属管理场景选择对应方案：

场景1：Key Vault归当前模板管理 #

不要仅用existing声明，直接在模板中编写Key Vault的完整资源定义，Bicep会自动将它加入期望资源清单，Complete模式就不会删除它。如果你需要先引用已经存在的Key Vault，可以先执行导入操作把现有Key Vault纳入模板管控。

场景2：Key Vault由其他团队/其他模板独立管理，不属于当前模板的管控范围 #

• 优先选择增量部署模式（也就是去掉--mode Complete参数，默认就是增量模式），增量模式不会删除模板未声明的资源，更适合引用外部托管资源的场景
• 如果必须使用Complete模式清理多余资源：执行部署和预览命令时加上--what-if-exclude-resource <Key Vault的完整资源ID>参数，将Key Vault排除在删除清单之外
• 额外防护：给Key Vault配置「不允许删除」的资源锁，就算部署逻辑误判要删除也无法执行删除操作，避免业务故障

内容的提问来源于stack exchange，提问作者alexs77