模板中的Azure Bicep多个作用域 [英] Azure Bicep multiple scopes in template
本文介绍了模板中的Azure Bicep多个作用域的处理方法，对大家解决问题具有一定的参考价值，需要的朋友们下面随着小编来一起学习吧！
问题描述
在使用Terraform很长时间后，我决定开始学习天蓝色的二头肌。到目前为止，我正在努力把握其中的逻辑。到目前为止，我一直在尝试部署存储帐户和密钥库。我在这里做的事情如下所示。
- 创建存储帐户
- 使用现有密钥库将存储帐户连接字符串存储为机密
- 根据存储帐户名创建密钥
这和我预期的一样。
所以我想向前迈进一步。这就是我有点困惑的地方。
我想要做的是使用相同的二头肌模板，在不同的资源组中创建一个新的秘密，并将其放入不同的密钥库。
现在，根据我对Azure文档的理解，该模板附带了一个默认的scope，在我的特定情况下，它针对我的默认订阅，并使用命令
az deployment group create -f ./template.bicep -g <resource-group-name>
这是我的模板：
// Default values I'm using to test
param keyVaultName string = '<keyvault-name>'
param managedIdentityName string = 'test-managed-identity'
param tenantCodes array = [
'elhm'
'feor'
]
// I'm using prefix so I dont need to create additional arrays
var keyVaultKeyPrefix = 'Client-Key-'
var storagePrefix = 'sthrideveur'
// Get a reference to key vault
resource keyVault 'Microsoft.KeyVault/vaults@2021-06-01-preview' existing = {
name: keyVaultName
}
// Create a managed identity
resource managedIdentity 'Microsoft.ManagedIdentity/userAssignedIdentities@2018-11-30' = {
name: managedIdentityName
location: resourceGroup().location
}
// Grant permissions to key vault
resource accessPolicy 'Microsoft.KeyVault/vaults/accessPolicies@2019-09-01' = {
name: '${keyVault.name}/add'
properties: {
accessPolicies: [
{
tenantId: subscription().tenantId
objectId: managedIdentity.properties.principalId
permissions: {
// minimum required permissions
keys: [
'get'
'unwrapKey'
'wrapKey'
]
}
}
]
}
}
// Create key vault keys
resource keyVaultKeys 'Microsoft.KeyVault/vaults/keys@2021-06-01-preview' = [for tenantCode in tenantCodes: {
name: '${keyVault.name}/${keyVaultKeyPrefix}${tenantCode}'
properties: {
keySize: 2048
kty: 'RSA'
// storage key should only needs these operations
keyOps: [
'unwrapKey'
'wrapKey'
]
}
}]
// Create storage accounts
resource storageAccount 'Microsoft.Storage/storageAccounts@2021-04-01' = [for tenantCode in tenantCodes: {
name: '${storagePrefix}${tenantCode}'
location: resourceGroup().location
kind: 'StorageV2'
sku: {
name: 'Standard_RAGRS'
}
// Assign the identity
identity: {
type: 'UserAssigned'
userAssignedIdentities: {
'${managedIdentity.id}': {}
}
}
properties: {
allowCrossTenantReplication: true
minimumTlsVersion: 'TLS1_2'
allowBlobPublicAccess: false
allowSharedKeyAccess: true
networkAcls: {
bypass: 'AzureServices'
virtualNetworkRules: []
ipRules: []
defaultAction: 'Allow'
}
supportsHttpsTrafficOnly: true
encryption: {
identity: {
// specify which identity to use
userAssignedIdentity: managedIdentity.id
}
keySource: 'Microsoft.Keyvault'
keyvaultproperties: {
keyname: '${keyVaultKeyPrefix}${tenantCode}'
keyvaulturi: keyVault.properties.vaultUri
}
services: {
file: {
keyType: 'Account'
enabled: true
}
blob: {
keyType: 'Account'
enabled: true
}
}
}
accessTier: 'Cool'
}
}]
// Store the connectionstrings in KV if specified
resource storageAccountConnectionStrings 'Microsoft.KeyVault/vaults/secrets@2019-09-01' = [ for (name, i) in tenantCodes :{
name: '${keyVault.name}/${storagePrefix}${name}'
properties: {
value: 'DefaultEndpointsProtocol=https;AccountName=${storageAccount[i].name};AccountKey=${listKeys(storageAccount[i].id, storageAccount[i].apiVersion).keys[0].value};EndpointSuffix=${environment().suffixes.storage}'
}
}]
当我需要以特定资源组为目标时，我可以使用资源中的作用域，因此我创建了以下内容：
resource keyvaultApi 'Microsoft.KeyVault/vaults@2021-06-01-preview' existing = {
name: keyVaultApiName
scope: resourceGroup('secondresourcegroup')
}
到目前为止没有错误，但问题发生在我必须创建托管身份资源时。
resource keyvaultApi 'Microsoft.KeyVault/vaults@2021-06-01-preview' existing = {
name: keyVaultApiName
scope: resourceGroup('secondresourcegroup')
}
resource managedIdentityTwo 'Microsoft.ManagedIdentity/userAssignedIdentities@2018-11-30' = {
name: managedIdentityNameTwo
location: resourceGroup().location
}
resource accessPolicyApi 'Microsoft.Media/videoAnalyzers/accessPolicies@2021-11-01-preview' = {
name: '${keyvaultApi.name}/add'
properties: {
accessPolicies: [
{
tenantId: subscription().tenantId
objectId: managedIdentityTwo.properties.principalId
permissions: {
// minimum required permissions
keys: [
'get'
'unwrapKey'
'wrapKey'
]
}
}
]
}
}
在密钥库中，我可以声明范围，但对于底层资源，如访问策略等，我不能声明范围。那么，biep如何理解这些资源需要针对特定的资源组和特定的密钥库？
因为当我运行终端命令时，我针对的是特定的资源组，所以我不太明白如何使用一个模板来相应地针对不同的资源组和资源。
我希望我把我的观点讲清楚了，如果我没有，请随时问我更多的信息。
非常感谢您的时间和帮助
更新： 当我尝试按原样运行代码时，我得到以下错误：
{"status":"Failed","error":{"code":"DeploymentFailed","message":"At least one resource deployment operation failed. Please list deployment operations for details. Please see https://aka.ms/DeployOperations for usage details.","details":[{"code":"NotFound","message":"{
"error": {
"code": "ParentResourceNotFound",
"message": "Can not perform requested operation on nested resource. Parent resource 'secondkeyvault' not found."
}
}"}]}}
更新： 因此，我遵循Daniel Lead，并在第二个模板中部署了第二个模板所需的代码，如下所示：
模板2.biep
param deploymentIdOne string = newGuid()
param deploymentIdTwo string = newGuid()
output deploymentIdOne string = '${deploymentIdOne}-${deploymentIdTwo}'
output deploymentIdTwo string = deploymentIdTwo
// Default values I'm using to test
param keyVaultApiName string = 'secondkeyvaultapi'
param managedIdentityNameTwo string = 'second-second-identity'
var keyVaultKeyPrefixTw = 'Client-Key-'
param tenantCodes array = [
'tgrf'
]
resource keyvaultApi 'Microsoft.KeyVault/vaults@2021-06-01-preview' existing = {
name: keyVaultApiName
}
resource managedIdentityTwo 'Microsoft.ManagedIdentity/userAssignedIdentities@2018-11-30' = {
name: managedIdentityNameTwo
location: resourceGroup().location
}
resource accessPolicyApi 'Microsoft.KeyVault/vaults/accessPolicies@2019-09-01' = {
name: '${keyvaultApi.name}/add'
properties: {
accessPolicies: [
{
tenantId: subscription().tenantId
objectId: managedIdentityTwo.properties.principalId
permissions: {
// minimum required permissions
keys: [
'get'
'unwrapKey'
'wrapKey'
]
}
}
]
}
}
// Store the connectionstrings in KV if specified
resource clientApiKeys 'Microsoft.KeyVault/vaults/secrets@2019-09-01' = [ for name in tenantCodes :{
name: '${keyvaultApi.name}/${keyVaultKeyPrefixTw}${name}'
properties: {
value: '${deploymentIdOne}-${deploymentIdTwo}'
}
}]
在我的主模板中添加了模块：
module clientKeyApi 'template2.bicep' = {
name: 'testfrgs'
scope: 'secondresourcegroup'
}
但有些事情我不是百分之百清楚的。
如何覆盖我在template2.biep中声明的所有for循环和参数名称，但模块需要一个作用域subscription，如果我声明作用域，这不是会覆盖缺省值吗？
抱歉各位新手的问题，我正试图打破我的思维定势，更好地了解二头肌是如何工作的。
任何解释都将是令人惊叹和有帮助的
推荐答案
您不能在资源上指定scope，但可以在模块上指定它。您需要将向密钥库添加访问策略的资源转换为单独的模块，然后在该模块上指定scope。您也可以设置部署的范围subscription，但是您还需要将针对特定资源组的所有内容分解为模块。
这是由于ARM部署的工作方式。ARM部署的默认范围是在资源组级别。您不能将资源指向其他资源组，因为它超出了部署范围。
但是，模块作为子部署运行，因此可以设置不同的作用域。
在这种情况下，Terraform更加简单，因为它直接调用Azure API，而不是使用ARM部署模型。TerraForm不关心部署作用域，因为它不使用它们。这篇关于模板中的Azure Bicep多个作用域的文章就介绍到这了，希望我们推荐的答案对大家有所帮助，也希望大家多多支持IT屋！
查看全文
