if（）函数计算ARM模板中的两个表达式

Question

我在Azure KeyVault的复制操作中使用if（）函数：

"variables": {
    "users": 3,
    "user1": {
        "tenantId": "[variables('tenantId')]",
        "objectId": "abcd",
        "permissions": {
            "keys": [
                "get"
            ],
            "secrets": [
                "get"
            ],
            "certificates": [
                "get"
            ]
        }
    },

    "user2": {
        "tenantId": "[variables('tenantId')]",
        "objectId": "efgh",
        "permissions": {
            "keys": [
                "get"
            ],
            "secrets": [
                "get"
            ],
            "certificates": [
                "get"
            ]
        }
    },

    "user3": {
        "tenantId": "[variables('tenantId')]",
        "objectId": "ijkl",
        "permissions": {
            "secrets": [
                "get"
            ]
        }
    },

    "extraUsers": [
        "[variables('user1')]",
        "[variables('user2')]",
        "[variables('user3')]"
    ]

"resources": [
    {
        "name": "myKeyVault",
        "type": "Microsoft.KeyVault/vaults",
        "apiVersion": "2018-02-14",
        "location": "some_location",
        "tags": {
            "displayName": "KeyVault"
        },
        "properties": {
            "copy": [
                {
                    "name": "accessPolicies",
                    "count": "[add(variables('users'), length(variables('extraUsers')))]",
                    "input": {
                        "tenantId": "[variables('tenantId')]",
                        "objectId": "[if(less(copyIndex('myLoop'), variables('users')), reference(concat('Microsoft.Compute/virtualMachines/myVm', copyIndex('myLoop'), '/providers/Microsoft.ManagedIdentity/Identities/default'), '2015-08-31-PREVIEW').principalId, variables('extraUsers')[sub(copyIndex('myLoop'), variables('users'))].objectId)]",
                        "permissions": "[if(less(copyIndex('myLoop'), variables('users')), json($null), variables('extraUsers')[sub(copyIndex('myLoop'), variables('users'))].permissions)]"
                    }
                }
            ],

以上归结为：

if((index < A), <some object>.principalId, myArray[index - A].objectId)

但是，当我尝试部署它时，我得到的错误是不允许索引为-1。似乎ARM评估true和false表达式，因此减法操作当然会在false表达式中产生负结果。

但是，根据这里的答案，这应该在所有地区修复：

How the if() function executes in Azure Resource Manager Templates

任何人都知道为什么会这样吗？

我注意到ARM模板中AKV资源的最新API版本是2018-02-14，这是在上述问题中bmoore-msft提到错误修复之前。我不确定API版本是否是代码发布时的准确指标，或者它是否只是一个标签。

Answer 1

这意味着您的条件评估不是您认为它评估的内容。 api版本无所谓。另外，这是评估为-1的部分（据我所知）：

sub(copyIndex('myLoop'), variables('users'))

Answer 2

好吧，你遇到的问题是在复制和复制之前评估变量，如果 - 所以你仍然需要if（）语句中的有效索引。我们或许可以解决这个问题，但是对于短期而言，你需要另一种方法。在您的情况下，因为您只有2个批次并且您正在创建保管库，所以您可以在保管库上添加“通过”以添加更多访问策略。

基本上，您可以先创建保管库并添加MSI访问策略，然后在完成后添加额外的用户。如果您需要超过2个“通行证”或者您没有创建保险库，那么您将不得不使用嵌套部署来执行多次通过（这有效，这只是更多的工作）。

以下是基于上述代码段的示例：

        {
        "name": "myKeyVault",
        "type": "Microsoft.KeyVault/vaults",
        "apiVersion": "2018-02-14",
        "location": "some_location",
        "tags": {
            "displayName": "KeyVault"
        },
        "properties": {
            "copy": [
                {
                    "name": "myLoop",
                    "count": "[variables('users')]",
                    "input": {
                        "name": "accessPolicies",
                        "properties": {
                            "tenantId": "[variables('tenantId')]",
                            "objectId": "[reference(concat('Microsoft.Compute/virtualMachines/myVm', copyIndex('myLoop'), '/providers/Microsoft.ManagedIdentity/Identities/default'), '2015-08-31-PREVIEW').principalId]",
                            "permissions": "[json('null')]"
                        }
                    }
                }
            ]
        }
    },
    {
        "name": "[concat('myKeyVault', '/add')]",
        "type": "Microsoft.KeyVault/vaults/accessPolicies",
        "apiVersion": "2018-02-14",
        "location": "some_location",
        "dependsOn": [
            "myKeyVault"
        ],
        "tags": {
            "displayName": "MoreAccessPolicies"
        },
        "properties": {
            "copy": [
                {
                    "name": "myLoop2",
                    "count": "[length(variables('extraUsers'))]",
                    "input": {
                        "name": "accessPolicies",
                        "properties": {
                            "tenantId": "[variables('tenantId')]",
                            "objectId": "[variables('extraUsers')[copyIndex('myLoop2')].objectId]",
                            "permissions": "[variables('extraUsers')[copyIndex('myLoop2')].permissions]"
                        }
                    }
                }
            ]
        }
    }

这种帮助？

Answer 3

我再次尝试，它现在有效。我确实在我的代码中发现了一些语法错误。我原来写道：

"copy": [
    {
         "name": "loopName",
         "count": 3,
         "input": {
             "name": accessPolicies",
             "properties": { /* accessPolicies properties */ }
         }
    }
]

我认为copy.name是循环的名称，而copy.input.name是要复制的属性的名称。实际上它应该是：

"copy": [
    {
        "name": accessPolicies",
         "count": 3,
         "input": {
             /* accessPolicies properties */
         }
    }
]

循环没有名称。您只需提供要复制的属性的名称。我在我的问题中更新了代码。

但是，即使我恢复到原来的错误版本，我也不会得到关于负索引的相同错误。相反，我得到一个错误，即为“accessPolicies”提供了错误的值。所以不幸的是，我不确定根本原因是什么。它可能是我的语法错误，一些服务器端问题，或两者的组合。