无法通过ARM模板创建Azure Key Vault密钥：是安全设计还是暂未支持？

你问到的点很关键——目前ARM模板确实不支持直接定义Microsoft.KeyVault/vaults/keys资源类型，这主要是安全优先的设计考量，同时也结合了功能支持的阶段性规划，下面给你详细拆解：

一、核心原因：安全设计优先 #

Key Vault的密钥是Azure中最高敏感度的资源之一，ARM模板本身是明文文本文件，如果允许直接在模板中定义密钥（哪怕是自动生成的规则），会带来不可忽视的安全风险：

• 模板文件可能被提交到代码仓库、共享给团队成员，或被部署日志记录，导致密钥的创建规则或相关信息泄露；
• ARM模板的部署流程通常会被多个系统审计，若包含密钥相关的操作逻辑，会扩大敏感操作的暴露面，违背Key Vault“最小权限、隔离管控”的安全原则。

Azure的安全模型要求密钥的创建和管理必须通过更可控的路径完成，比如Azure CLI/PowerShell、Key Vault SDK或门户操作——这些方式可以精准控制操作权限、留下完整的审计日志，且不会在静态文件中留下敏感痕迹。

二、单模板完成密钥+磁盘加密集部署的替代方案 #

虽然不能直接在ARM模板中定义密钥，但可以通过部署脚本（Deployment Scripts） 在同一个模板中完成密钥创建和磁盘加密集的关联，实现你想要的“一站式部署”需求。

示例模板片段 #

下面是一个简化的模板示例，展示如何在ARM模板中嵌入Azure CLI脚本创建密钥，再关联到磁盘加密集：

{
  "$schema": "https://schema.management.azure.com/schemas/2019-04-01/deploymentTemplate.json#",
  "contentVersion": "1.0.0.0",
  "parameters": {
    "keyVaultName": {
      "type": "string",
      "metadata": { "description": "现有Key Vault的名称" }
    },
    "keyName": {
      "type": "string",
      "metadata": { "description": "要创建的密钥名称" }
    },
    "diskEncryptionSetName": {
      "type": "string",
      "metadata": { "description": "磁盘加密集名称" }
    }
  },
  "resources": [
    // 1. 嵌入CLI脚本创建Key Vault密钥
    {
      "type": "Microsoft.Resources/deploymentScripts",
      "apiVersion": "2020-10-01",
      "name": "createKVKeyScript",
      "location": "[resourceGroup().location]",
      "kind": "AzureCLI",
      "properties": {
        "azCliVersion": "2.50.0",
        "scriptContent": "az keyvault key create --vault-name \"[parameters('keyVaultName')]\" --name \"[parameters('keyName')]\" --kty RSA --size 2048",
        "timeout": "PT10M",
        "cleanupPreference": "OnSuccess"
      }
    },
    // 2. 创建磁盘加密集，关联刚生成的密钥
    {
      "type": "Microsoft.Compute/diskEncryptionSets",
      "apiVersion": "2022-03-02",
      "name": "[parameters('diskEncryptionSetName')]",
      "location": "[resourceGroup().location]",
      "dependsOn": [
        "[resourceId('Microsoft.Resources/deploymentScripts', 'createKVKeyScript')]"
      ],
      "properties": {
        "activeKey": {
          "sourceVault": {
            "id": "[resourceId('Microsoft.KeyVault/vaults', parameters('keyVaultName'))]"
          },
          "keyUrl": "[concat(reference(resourceId('Microsoft.KeyVault/vaults', parameters('keyVaultName'))).properties.vaultUri, 'keys/', parameters('keyName'), '/latest')]"
        }
      }
    }
  ]
}

关键注意事项 #

• 权限配置：执行模板部署的身份（比如服务主体、你的用户账户）需要拥有Key Vault的Key Vault Crypto Officer或Key Vault Contributor角色权限，同时Key Vault的访问策略要允许该身份进行密钥创建操作；
• 依赖关系：通过dependsOn确保磁盘加密集在密钥创建完成后再部署，避免引用不存在的密钥；
• 脚本清理：设置cleanupPreference: OnSuccess可以在部署完成后自动清理脚本运行的临时资源，减少冗余。

总结 #

这种设计是Azure在安全与便捷性之间的平衡——既通过限制模板直接操作密钥保护了敏感资源，又通过部署脚本提供了在单模板中完成全流程的可能，完全可以满足你测试客户管理密钥加密的需求。

内容的提问来源于stack exchange，提问作者Chedy2149