无法使用Azure Key Vault机密完成Azure VM域加入操作

你的思路完全正确——用Azure Key Vault存储敏感的域账号凭证是最安全的方案，但当前脚本的核心问题是你只是把密钥的URL赋值给了变量，并没有实际从Key Vault中拉取到真实的用户名和密码值，这才导致PSCredential构造函数报错（因为它需要真实的用户名文本和SecureString格式的密码，而不是URL字符串）。

正确的实现步骤 #

1. 先给VM配置Key Vault访问权限 #

在修改脚本之前，必须确保你的Azure VM有读取Key Vault机密的权限：

• 给VM启用系统分配身份（或者使用用户分配身份）
• 在Key Vault的访问控制（IAM）中，给这个身份添加Secret Reader角色，确保它能读取Vault中的机密
• 如果Key Vault启用了防火墙，记得把VM的IP地址加入允许列表，或者允许受信任的Azure服务访问

2. 修改脚本，正确获取机密值 #

你需要使用Get-AzKeyVaultSecret cmdlet来从Vault中获取真实的机密内容，而不是直接使用机密的URL。下面是修正后的完整脚本：

# 如果是在VM上用系统身份运行，先通过身份验证（自动化场景无需手动登录）
# Connect-AzAccount -Identity

# 定义你的Key Vault和机密名称
$keyVaultName = "<你的Key Vault名称>"
$adminUserSecretName = "AdminUser"
$adminPassSecretName = "SQLPassword"

# 从Key Vault获取用户名（明文格式）
$adminUserName = (Get-AzKeyVaultSecret -VaultName $keyVaultName -Name $adminUserSecretName).SecretValueText

# 从Key Vault获取密码并转换为PSCredential要求的SecureString格式
$adminPasswordSecure = (Get-AzKeyVaultSecret -VaultName $keyVaultName -Name $adminPassSecretName).SecretValue

# 创建合法的PSCredential对象
$mycred = New-Object System.Management.Automation.PSCredential ($adminUserName, $adminPasswordSecure)

# 执行加入域操作
$domain = 'hmr.loc'
Add-Computer -DomainName $domain -Credential $mycred -Restart # 可选：加入域后重启VM

额外注意事项 #

• 如果你的VM上还没有安装Az模块，需要先安装：

  Install-Module -Name Az.KeyVault -Force -AllowClobber
  

• 如果你更倾向于用Az CLI来获取机密（比如在混合脚本中），可以这样写：

  # 获取用户名
  $adminUserName = az keyvault secret show --name $adminUserSecretName --vault-name $keyVaultName --query value -o tsv
  # 获取密码并转换为SecureString
  $adminPasswordSecure = ConvertTo-SecureString (az keyvault secret show --name $adminPassSecretName --vault-name $keyVaultName --query value -o tsv) -AsPlainText -Force
  

内容的提问来源于stack exchange，提问作者Norrin Rad