为Azure Function配置带DependsOn依赖的Key Vault访问策略遇ARM报错如何解决？

报错根因 #

模板校验抛出的错误来自于Key Vault访问策略资源的依赖配置错误：你在dependsOn中填写的资源类型为Microsoft.Web/sites/functions，该类型是函数站点下的单个函数子资源，调用resourceId时需要传入2个参数（站点名称、函数名称），但你仅传入了函数应用名称1个参数，因此触发校验失败。
你实际想要依赖的目标是已经开启系统分配身份的函数应用本身，对应资源类型为Microsoft.Web/sites，仅需1个参数（函数应用名称）即可正确解析资源ID。

模板中需同步修正的其他问题 #

• 参数引用大小写不统一：模板中一会使用parameters('keyVault.name')一会使用parameters('keyVault.Name')，ARM模板的参数名大小写敏感，会导致取值异常。
• Key Vault资源ID书写不规范：appsettings配置的依赖项中写为Microsoft.KeyVault/vaults/，末尾多了斜杠，正确类型为Microsoft.KeyVault/vaults，仅需传入Key Vault名称1个参数。
• 依赖时序不匹配原始预期：原有配置中appsettings仅依赖函数站点和Key Vault本身，未依赖访问策略资源，会出现函数应用配置中引用Key Vault Secret时，还未完成权限授权的时序问题。
• 硬编码资源组无效：访问策略的原有依赖配置中硬编码了my-resource-group作为目标资源组，若当前部署的资源组名称与该值不一致，会直接导致资源解析失败。

修正后的关键配置片段 #

1. 修正Key Vault访问策略资源配置 #

替换原有访问策略的错误依赖配置，确保依赖目标指向带系统身份的函数应用本身：

{
  "type": "Microsoft.KeyVault/vaults/accessPolicies",
  "apiVersion": "2019-09-01",
  "name": "[concat(parameters('keyVault.name'), '/add')]",
  "dependsOn": [
    "[resourceId('Microsoft.Web/sites', parameters('functionAppName'))]"
  ],
  "properties": {
    "accessPolicies": [
      {
        "tenantId": "[subscription().tenantId]",
        "objectId": "[reference(resourceId('Microsoft.Web/sites', parameters('functionAppName')), '2020-06-01', 'full').identity.principalId]",
        "permissions": {
          "secrets": [
            "get",
            "list"
          ]
        }
      }
    ]
  }
}

2. 修正appsettings配置的依赖顺序 #

调整appsettings的依赖链，确保等Key Vault访问策略创建完成后，再更新带Key Vault引用的应用配置，完全匹配你最初设计的部署流程：

{
  "apiVersion": "2020-06-01",
  "type": "config",
  "name": "appsettings",
  "dependsOn": [
    "[resourceId('Microsoft.Web/sites', parameters('functionAppName'))]",
    "[resourceId('Microsoft.KeyVault/vaults', parameters('keyVault.name'))]",
    // 新增依赖：等待Key Vault访问策略授权完成后再更新配置
    "[resourceId('Microsoft.KeyVault/vaults/accessPolicies', parameters('keyVault.name'), 'add')]"
  ],
  "properties": {
    "AzureWebJobsStorage": "[concat('@Microsoft.KeyVault(SecretUri=https://', parameters('keyVault.name'), '.vault.azure.net/secrets/StorageAccountConnectionString/)')]",
    "WEBSITE_CONTENTAZUREFILECONNECTIONSTRING": "[concat('@Microsoft.KeyVault(SecretUri=https://', parameters('keyVault.name'), '.vault.azure.net/secrets/StorageAccountConnectionString/)')]",
    "WEBSITE_CONTENTSHARE": "[toLower(parameters('functionAppName'))]",
    "FUNCTIONS_EXTENSION_VERSION": "~3",
    "WEBSITE_NODE_DEFAULT_VERSION": "~12",
    "WEBSITE_RUN_FROM_PACKAGE": "1",
    "APPINSIGHTS_INSTRUMENTATIONKEY": "[parameters('appInsightsKey')]",
    "FUNCTIONS_WORKER_RUNTIME": "dotnet"
  }
}

修正完成后，ARM模板会严格按照依赖链顺序执行：先创建应用服务计划 → 再创建带系统分配身份的函数应用 → 待函数应用的主体ID生成后，为Key Vault添加对应访问授权 → 最后更新带Key Vault Secret引用的应用配置，全程不会出现权限不足的时序问题。

内容的提问来源于stack exchange，提问作者Dr Schizo