通过 ARM 将 Key Vault 访问策略添加到现有 Key Vault答案

【问题标题】：Adding a Key Vault Access Policy to an Existing Key Vault via ARM通过 ARM 将 Key Vault 访问策略添加到现有 Key Vault
【发布时间】：2020-04-21 21:49:57
【问题描述】：

我正在尝试在 Azure Devops 中进行 ARM 部署，从而将密钥保管库访问策略添加到 Azure 中的现有密钥保管库。

我想使用以下 ARM 模板，它将访问策略添加到现有 Key Vault：https://github.com/Azure/azure-quickstart-templates/tree/master/101-keyvault-add-access-policy

我有一个单独的模板，用于部署应用服务并创建系统分配的托管标识。

链接这两个模板的最佳方式是什么？如果我不知道服务原则的对象 ID 是什么，如何在“添加密钥库策略”ARM 模板中引用应用服务的系统分配标识？

【问题讨论】：

标签： azure azure-devops azure-resource-manager azure-keyvault arm-template

【解决方案1】：

以下是如何在其他模板中检索托管身份 ID 的示例：

"[reference(concat(resourceId('Microsoft.Web/sites/', %wep_app_name%), '/providers/Microsoft.ManagedIdentity/Identities/default'), '2015-08-31-PREVIEW').principalId]"

https://github.com/Azure/azure-quickstart-templates/blob/master/101-functions-managed-identity/azuredeploy.json#L295

【讨论】：

确保将适当的“取决于”子句添加到您的 Key Vault 资源，以便完全解析 Web 应用（及其服务主体）以创建访问策略。等待服务主体 ID 是不够的。 id 需要通过 Azure-Verse for Key Vault 传播，以使用它来创建访问策略。否则，您将获得来自 Web 应用程序的 Id 和来自 Key Vault 的错误。