azure - 如何在同一 ARM 模板中授予 VM 对 Key Vault 的访问权限

Question

我正在尝试创建一个能够配置虚拟机和 key 保管库的 ARM 模板。 VM 标识设置为“SystemAssigned”类型。请参阅下面的代码片段:

        ...
        "name": "[variables('VM1')]",
        "type": "Microsoft.Compute/virtualMachines",
        "identity": { 
            "type": "SystemAssigned"
        },
        "apiVersion": "2019-07-01",
        ...

我希望能够授予虚拟机访问保管库中 secret 的权限。为此，需要检索 accessPolicies 的 tenantID 和 ObjectID。对于我正在使用的tenantID:

"tenantId": "[subscription().tenantId]",

是否有类似的方法来引用在同一模板中创建的虚拟机的 ObjectID？

谢谢!

Answer 1

您需要使用引用来获取 VM 的托管服务标识的对象 ID(主体 ID)，以分配对 KeyVault 的访问权限。 See the documentation here 。

我看到 KeyVault 需要 TenantID 和对象 ID。

模板中应已有的租户“tenantId”:“[subscription().tenantId]”

ObjectID 是PrincipalId，如下面链接的文档和示例所示。

{
    "apiVersion": "2017-09-01",
    "type": "Microsoft.Authorization/roleAssignments",
    "name": "[parameters('rbacGuid')]",
    "properties": {
        "roleDefinitionId": "[variables(parameters('builtInRoleType'))]",
        "principalId": "[reference(variables('vmResourceId'), '2017-12-01', 'Full').identity.principalId]",
        "scope": "[resourceGroup().id]"
    },
     "dependsOn": [
        "[concat('Microsoft.Compute/virtualMachines/', parameters('vmName'))]"
    ]
}