azure - ARM 模板循环依赖问题

Question

我的 ARM 模板中有 2 个相互依赖的 Azure 资源: key 保管库和 Service Fabric 集群。

对于 Key Vault，我需要在 Key Vault 的访问策略中引用 Service Fabric 集群的对象 ID，以授予其访问 secret 的权限。对于服务结构集群，我需要它来引用 key 保管库中的 secret 。这些资源在部署期间都不存在。

有没有一种方法可以引用 Service Fabric 群集的对象 ID 以提供给 Key Vault 的访问策略，并且有没有一种方法可以在不硬编码任何值的情况下在 Key Vault 中生成 secret ？理想情况下，我们只知道 secret 名称，并且只将该 secret 名称提供给 ARM 模板中的 Service Fabric 集群。

Answer 1

我相信我也遇到过类似的情况，我有一个 Key Vault，其中包含 Service Fabric 群集 (SFC) 引用的 secret 和证书，然后我需要授予 SFC 托管身份权限才能访问回 keystore 。我使用 PowerShell 和嵌套/链接 ARM 模板的组合。

通过 Azure DevOps 管道启动单个 PowerShell 脚本来处理以下部署步骤:

1. 通过 ARM 部署 Key Vault
2. 通过 PS 将 secret 和证书导入 KV
3. 通过 ARM 部署 SFC(引用 KV secret )
   1. SFC(通过dependon)后，进行ARM部署，设置KV访问策略

来自微软的示例: https://github.com/Azure/azure-quickstart-templates/blob/master/101-keyvault-add-access-policy/azuredeploy.json#L35

    {
      "type": "Microsoft.KeyVault/vaults/accessPolicies",
      "name": "[concat(parameters('keyVaultName'), '/add')]",
      "apiVersion": "2019-09-01",
      "properties": {
        "accessPolicies": [
          {
            "tenantId": "[parameters('tenantId')]",
            "objectId": "[parameters('objectId')]",
            "permissions": {
              "secrets": "[parameters('secretsPermissions')]"
            }
          }
        ]
      }
    }

一切都通过一个版本进行部署和设置。