BicepパラメーターファイルでAzure Key Vaultのシークレットを利用する

.
├── main.bicep
└── main.bicepparam

# 変数を定義する
RESOURCE_GROUP_NAME="rg-biceptest"
KEY_VAULT_NAME="kv-biceptest"
LOCATION="japaneast"
TEMPLATE_FILE_NAME="main.bicep"
PARAMETER_FILE_NAME="main.bicepparam"

# リソースグループを作成する
az group create --name $RESOURCE_GROUP_NAME --location $LOCATION

# Key Vaultを作成する
az keyvault create \
    --name $KEY_VAULT_NAME \
    --resource-group $RESOURCE_GROUP_NAME \
    --location $LOCATION \
    --enabled-for-template-deployment true

# ユーザーにKey Vault管理者のロールを付与する
# これが無いとポリシーの設定などでエラーとなる
az role assignment create \
    --assignee-object-id <Azure CLI実行ユーザーのオブジェクトID> \
    --role "Key Vault Administrator" \
    --scope "/subscriptions/<サブスクリプションID>/resourceGroups/rg-biceptest/providers/Microsoft.KeyVault/vaults/kv-biceptest"

# Key Vaultのアクセスポリシーを設定する
az keyvault set-policy \
  --upn <ユーザープリンシパル名> \
  --name $KEY_VAULT_NAME \
  --secret-permissions set delete get list

# Key Vaultにデータベースユーザー名、パスワードのシークレットを作成する
az keyvault secret set \
    --vault-name $KEY_VAULT_NAME \
    --name "sqlserveradmin" \
    --value "sqladmin"

az keyvault secret set \
    --vault-name $KEY_VAULT_NAME \
    --name "sqladminpassword" \
    --value "Wp@3h8-ge0Tc"

using 'main.bicep'

param location = 'japaneast'
param sqlServerName = 'sql-biceptest'
param sqlServerAdminLogin = getSecret('<サブスクリプションID>', 'rg-biceptest', 'kv-biceptest', 'sqlserveradmin')
param sqlServerAdminPassword = getSecret('<サブスクリプションID>', 'rg-biceptest', 'kv-biceptest', 'sqladminpassword')
param sqlDatabaseName = 'sqldb-biceptest'
param sqlDatabaseSkuName = {
  name: 'Standard'
  tier: 'Standard'
}

@description('Azureリソースのリージョン')
param location string

@description('SQL Server名')
param sqlServerName string

@description('SQL Serverのユーザー名')
@secure()
param sqlServerAdminLogin string

@description('SQL Serverのパスワード')
@secure()
param sqlServerAdminPassword string

@description('SQL Database名')
param sqlDatabaseName string

@description('SQL DatabaseのSKU名')
param sqlDatabaseSkuName object

resource sqlServer 'Microsoft.Sql/servers@2023-08-01-preview' = {
  name: sqlServerName
  location: location
  properties: {
    administratorLogin: sqlServerAdminLogin
    administratorLoginPassword: sqlServerAdminPassword
  }
}

resource sqlDatabase 'Microsoft.Sql/servers/databases@2023-08-01-preview' = {
  parent: sqlServer
  name: sqlDatabaseName
  location: location
  sku: sqlDatabaseSkuName
}

# Bicepテンプレートファイルのデプロイ結果を確認する
az deployment group what-if --resource-group $RESOURCE_GROUP_NAME --template-file $TEMPLATE_FILE_NAME --parameters $PARAMETER_FILE_NAME

# リソースグループにデプロイする
az deployment group create --resource-group $RESOURCE_GROUP_NAME --template-file $TEMPLATE_FILE_NAME --parameters $PARAMETER_FILE_NAME

# リソースグループを削除する
az group delete --resource-group $RESOURCE_GROUP_NAME