Azure ARM模板部署是否会删除函数应用的主机密钥？

这个问题我之前处理过，确实ARM部署会导致你手动设置的自定义主机密钥消失，下面给你详细说下原因和可行的解决办法：

为什么会丢失？ #

当你用ARM模板部署包含函数应用、存储账户和应用服务计划的资源时，默认情况下：

• 函数应用的主机密钥属于ARM模板默认不管理的"非声明性"配置，如果模板里没有明确保留这些密钥的配置逻辑，Azure会按照模板定义的资源状态进行同步，把未在模板中声明的密钥重置为自动生成的默认值。
• 另外，如果你的模板中重新部署了关联的存储账户（哪怕是同一个名称的增量部署），函数应用用来存储密钥的azure-webjobs-secrets容器可能会被重置，间接导致密钥丢失。

解决办法 #

1. 在ARM模板中嵌入密钥保留逻辑 #

你可以通过部署脚本在ARM部署过程中读取现有密钥并重新设置，避免丢失。比如添加一个PowerShell部署脚本资源：

{
  "type": "Microsoft.Resources/deploymentScripts",
  "apiVersion": "2020-10-01",
  "name": "PreserveFunctionHostKeys",
  "location": "[resourceGroup().location]",
  "kind": "AzurePowerShell",
  "properties": {
    "azPowerShellVersion": "7.2",
    "scriptContent": "
      $funcName = '<your-function-app-name>'
      $rgName = '<your-resource-group-name>'
      # 读取现有主机密钥
      $existingKeys = az functionapp keys list --name $funcName --resource-group $rgName --query 'hostKeys' | ConvertFrom-Json
      # 重新设置默认主机密钥（如果需要保留自定义密钥，替换$existingKeys.default为你的自定义值）
      az functionapp keys set --name $funcName --resource-group $rgName --host-name-key $existingKeys.default
    ",
    "cleanupPreference": "Always",
    "timeout": "PT5M"
  }
}

如果你的自定义密钥是固定值，也可以直接在函数应用的siteConfig.appSettings中添加WEBSITE_HOSTNAME_KEY配置项，但绝对不要硬编码敏感值，建议用Azure Key Vault存储密钥后再引用。

2. 使用增量部署模式并避免关键资源重建 #

确保你的ARM部署使用增量模式（这是默认模式），它只会更新模板中定义的资源，不会删除未声明的属性。同时注意：

• 不要修改函数应用关联的存储账户资源定义，除非你确认不会影响密钥存储。
• 避免重新创建应用服务计划，哪怕是同名资源，重建会触发函数应用的初始化，导致密钥丢失。

3. 部署后手动恢复（临时应急方案） #

如果只是临时解决问题，可以在部署完成后手动重置密钥：

• 门户操作：进入函数应用 → 左侧菜单"函数应用设置" → "主机密钥"，重新设置你的自定义密钥。
• Azure CLI命令：

az functionapp keys set --name <你的函数应用名称> --resource-group <你的资源组名称> --host-name-key <你的自定义密钥值>

4. 用Key Vault管理密钥（最佳实践） #

把自定义主机密钥存到Azure Key Vault，然后让函数应用通过配置引用这个机密，这样即使ARM部署重置了应用配置，密钥也会自动从Key Vault加载：

1. 在Key Vault中创建机密，存储你的自定义主机密钥。
2. 给函数应用的系统分配托管身份授予Key Vault的机密读取权限。
3. 在ARM模板的函数应用资源中添加配置项：

{
  "name": "WEBSITE_HOSTNAME_KEY",
  "value": "[reference(resourceId('Microsoft.KeyVault/vaults/secrets', '你的Key Vault名称', '你的机密名称'), '2023-02-01').secretUriWithVersion]"
}

内容的提问来源于stack exchange，提问作者user6136105