从 ARM 模板中的 Azure 密钥保管库获取最新版本的证书

创建需要安装位于 Azure 密钥保管库内部的 SSL 证书的 ARM 模板。如果我用指纹指定证书，它工作正常：

https://contoso.vault.azure.net/secrets/web01-test-contoso-com/968bf207451149d3aceb390065af9d3a

但由于证书是在滴答作响的时钟上，这会硬编码一个依赖项，该依赖项可能会在 ARM 模板中过时。我宁愿只指定最新版本（就像门户中显示的那样）。但是，我还没有找到任何文档来说明如何做到这一点，甚至没有提到是否可能。

我使用以下方法进行了几个实验：

https://contoso.vault.azure.net/secrets/web01-test-contoso-com

and

https://contoso.vault.azure.net/secrets/web01-test-contoso-com/latest

但在这两种情况下，我都收到相同的错误消息：

message '{
   "error": {
     "code": "InvalidParameter",
     "message": "https://contoso.vault.azure.net/secrets/web01-test-contoso-com/latest is 
 not a valid versioned Key Vault Secret URL. It should be in the format 
 https://<vaultEndpoint>/secrets/<secretName>/<secretVersion>.",
     "target": "certificateUrl"
   }
}'

所以我的问题是：如何以获取最新版本的方式引用证书？

为了清楚起见，我使用了secretsVM 的 ARM 模板部分如下所示，该部分从 Azure 密钥保管库获取证书并将其安装到 Windows 证书存储中。

"secrets": [
    {
      "sourceVault": {
        "id": "[resourceId(parameters('keyVaultResourceGroupName'), 'Microsoft.KeyVault/vaults', parameters('keyVaultName'))]"
      },
      "vaultCertificates": [
        {
          "certificateUrl": "https://contoso.vault.azure.net/secrets/web01-test-contoso-com/latest",
          "certificateStore": "My"
        }
      ]
    }
]

NOTE:我觉得奇怪的是，您可以指定要安装的最新版本的操作系统，但不能指定安装最新版本的证书。

这是可能的，与公认的答案所说的相反。 使用 Secret 的资源 id 定义变量，如下所示：

"mySecretResourceId": "[concat(resourceGroup().id,'/providers/Microsoft.KeyVault/vaults/', variables('keyVaultName'), '/secrets/', 'my-secret-name')]"

然后您可以在模板中使用它，如下所示：

"certificateUrl": "[reference(variables('mySecretResourceId'), '2018-02-14').secretUriWithVersion]"