如何在ARM模板中动态创建Azure KeyVault引用？能否按名称引用？

一、动态创建Azure Key Vault引用 #

你完全可以通过ARM模板的参数和内置函数实现动态的Key Vault引用，不用把Vault的ID硬编码在文件里。核心思路是把Key Vault的订阅ID、资源组名称、Vault名称拆成可配置的参数，再用resourceId()函数动态生成完整的资源ID。

举个具体的实现例子：

1. 先在参数文件里定义这些可配置的参数：

"parameters": {
  "keyVaultSubscriptionId": {
    "value": "你的订阅GUID"
  },
  "keyVaultResourceGroupName": {
    "value": "KeyVaultRG"
  },
  "keyVaultName": {
    "value": "KeyVault"
  },
  "mailAccountSecretName": {
    "value": "mailAccount"
  }
}

2. 然后在模板文件里，用这些参数动态构建Key Vault引用：

"parameters": {
  "mailAccount": {
    "reference": {
      "keyVault": {
        "id": "[resourceId(parameters('keyVaultSubscriptionId'), parameters('keyVaultResourceGroupName'), 'Microsoft.KeyVault/vaults', parameters('keyVaultName'))]"
      },
      "secretName": "[parameters('mailAccountSecretName')]"
    }
  }
}

这样后续要切换不同的Key Vault时，只需要修改参数文件里的对应值，不用改动模板本身，非常灵活。

二、能否通过名称而非ID引用Key Vault？ #

很遗憾，目前ARM模板的Key Vault引用机制不支持直接用名称引用。这是因为Azure租户中可能存在多个同名的Key Vault（分布在不同订阅或资源组下），仅靠名称无法唯一定位到目标Vault，所以微软的设计要求必须提供完整的资源ID来确保准确性。

不过你可以通过上面提到的resourceId()函数，间接用名称+资源组+订阅ID来生成ID，这样既满足了ARM的要求，又实现了类似"按名称引用"的便捷性。

额外注意事项 #

• 执行模板部署的主体（比如用户、服务主体）必须拥有目标Key Vault的Microsoft.KeyVault/vaults/secrets/get权限
• 目标Key Vault必须在访问策略中启用**"允许通过Azure Resource Manager访问此密钥保管库"**的选项，否则部署时会无法读取机密

内容的提问来源于stack exchange，提问作者Sergey