通过参数文件将 Azure Key Vault secret 读入 ARM 模板

Question

我已经在这两个文件中设置了问题。 该模板只是使用伪造的 url 发布参数以检查值。

read_secret_params.json

{
    "$schema": "https://schema.management.azure.com/schemas/2019-04-01/deploymentParameters.json#",
    "contentVersion": "1.0.0.0",
    "parameters": {
        "ftpPrivateKey": {
            "reference": {
                "keyVault": {
                    "id": "/subscriptions/dummyid/resourceGroups/dummyrg/providers/Microsoft.KeyVault/vaults/myvault"
                },
                "secretName": "mysecret"
            }
        }
    }
}

read_secret_template.json

{
    "$schema": "https://schema.management.azure.com/schemas/2019-04-01/deploymentTemplate.json#",
    "contentVersion": "1.0.0.0",
    "parameters": {
        "ftpPrivateKey": {
            "type": "securestring"
        }
    },
    "resources": [
        {
            "type": "Microsoft.Logic/workflows",
            "apiVersion": "2019-05-01",
            "name": "read-secret",
            "location": "East US",
            "properties": {
                "definition": {
                    "$schema": "https://schema.management.azure.com/providers/Microsoft.Logic/schemas/2016-06-01/workflowdefinition.json#",
                    "contentVersion": "1.0.0.0",
                    "triggers": {
                        "Recurrence": {
                            "recurrence": {
                                "frequency": "Week",
                                "interval": 1
                            },
                            "type": "Recurrence"
                        }
                    },
                    "actions": {
                        "HTTP": {
                            "inputs": {
                                "body": "[parameters('ftpPrivateKey')]",
                                "method": "POST",
                                "uri": "https://dummysite.com"
                            },
                            "runAfter": {},
                            "type": "Http"
                        }
                    },
                    "outputs": {}
                },
                "parameters": {}
            }
        }
    ]
}

第一个问题是，当我尝试通过门户进行部署时，参数没有任何值，因此由于验证错误“验证失败。所需信息丢失或无效”而无法创建它。 . 这是因为它无法读取秘密、权限吗？ 注意：密钥库也是我自己创建的，所以我是所有者。

我可以绕过验证错误并通过添加默认值成功部署，如下所示：-

    "parameters": {
        "ftpPrivateKey": {
            "type": "securestring",
            "defaultValue": "privateKeyDefault"
        }
    },

但是当我运行逻辑应用程序时，它在 POST 命令中使用默认值，因此它似乎没有从密钥库中提取秘密。

所以总而言之，我有 2 个问题：-

1. 此测试是否证明逻辑应用未读取机密，或者它可能已成功读取机密但出于某种原因在 POST 命令中显示默认值？
2. 如果不是阅读秘密，谁能提出原因+修复？

Answer 1

如果我使用 Azure CLI 进行部署，那么它会起作用，即从 Azure Key Vault 获取秘密。 如果部署在门户中，则它始终使用默认值。