通过REST API（PowerShell）将Azure密钥保管库证书添加到Azure应用服务

看起来你已经找对了方向，但可能在请求体语法、API授权或者URI格式上有小疏漏，我来帮你梳理并给出完整的可实现步骤：

第一步：获取Azure AD访问令牌 #

调用Azure REST API必须携带有效授权令牌，你可以用这段代码快速获取：

$context = Get-AzContext
$token = [Microsoft.Azure.Commands.Common.Authentication.AzureSession]::Instance.AuthenticationFactory.Authenticate($context.Account, $context.Environment, $context.Tenant.Id.ToString(), $null, [Microsoft.Azure.Commands.Common.Authentication.ShowDialog]::Never, $null, "https://management.azure.com/").AccessToken

第二步：修正请求体语法 #

你的原请求体存在语法错误（键值对之间缺少逗号），而且建议明确指定serverFarmId（应用服务计划的资源ID），这是部分场景下的必填项：

$certBody = @{
    name = "InfoServiceTAKeyVaultDev"
    location = "West Europe"
    properties = @{
        keyVaultId = "/subscriptions/<subscriptionId>/resourceGroups/BzInfoServiceTADEV/providers/Microsoft.KeyVault/vaults/BzKVInfoServiceTADev"
        keyVaultSecretName = "InfoServiceTAKeyVaultCert"
        serverFarmId = "/subscriptions/<subscriptionId>/resourceGroups/BzInfoServiceTADEV/providers/Microsoft.Web/serverfarms/<your-app-service-plan-name>"
    }
} | ConvertTo-Json -Depth 3

注意：必须用ConvertTo-Json把哈希表转为JSON格式，REST API只接受JSON请求体；-Depth 3确保嵌套的properties结构能正确序列化。

第三步：构造正确的API URI #

API的URI需要精准指向你的应用服务的证书资源，格式如下：

$apiUri = "https://management.azure.com/subscriptions/<subscriptionId>/resourceGroups/BzInfoServiceTADEV/providers/Microsoft.Web/sites/<your-app-service-name>/certificates/InfoServiceTAKeyVaultDev?api-version=2023-01-01"

请替换<your-app-service-name>为你的应用服务名称，api-version建议使用最新的稳定版本。

第四步：执行API调用 #

把所有部分整合起来，执行PUT请求：

Invoke-RestMethod `
    -Method Put `
    -Uri $apiUri `
    -Headers @{
        "Authorization" = "Bearer $token"
        "Content-Type" = "application/json"
    } `
    -Body $certBody

关键注意事项 #

• KeyVault访问策略：确保你的Azure AD账户（或执行脚本的服务主体）拥有KeyVault的Certificate Get和Secret Get权限；如果依赖应用服务的系统分配标识，该标识也需要对应权限，否则会触发权限不足错误。
• 证书格式：KeyVault中的证书必须是PFX格式且包含私钥（自签名证书满足这个要求）。
• 资源ID准确性：所有资源ID（订阅ID、资源组、KeyVault、应用服务计划）必须完全匹配Azure门户中的资源路径，且大小写敏感。

内容的提问来源于stack exchange，提问作者Ronald Wildenberg