VMのデプロイにキーコンテナを使う

// keyvault/keyvault.bicep

@description('デプロイする場所 (リージョン)')
param location string = resourceGroup().location

@description('Key Vault名。グローバルで一意である必要があります。')
param keyVaultName string

@description('Key Vaultへのアクセスを許可するユーザー/SPのオブジェクトID')
param principalId string

// Key Vault のリソース定義
resource keyVault 'Microsoft.KeyVault/vaults@2023-07-01' = {
  name: keyVaultName
  location: location
  properties: {
    tenantId: subscription().tenantId 
    sku: {
      family: 'A'
      name: 'standard'
    }
    enableSoftDelete: true
    softDeleteRetentionInDays: 7
    // アクセス設定
    accessPolicies: [
      {
        objectId: principalId
        tenantId: subscription().tenantId
        permissions: {
          secrets: [
            'get' // VMパスワードの取得権限
          ]
        }
      }
    ]
  }
}

// Key VaultのリソースIDを外部に出力
output keyVaultId string = keyVault.id

// main.bicep

@description('デプロイする場所 (リージョン)')
param location string = resourceGroup().location

// --- 必須パラメータ ---
@description('VM名')
param vmName string
@description('管理者ユーザー名')
param adminUsername string

// --- Key Vault 関連パラメータ (外部からIDを受け取る) ---
@description('既に作成されているKey Vaultの完全なリソースID')
param existingKeyVaultId string

@description('Key Vaultに保存されているVM管理者パスワードのシークレット名')
param adminPasswordSecretName string = 'vm-admin-password'

// --- ネットワーク/VM設定パラメータ ---
@description('仮想ネットワーク名')
param vnetName string = 'vnet-deploy-bicep'
@description('サブネット名')
param subnetName string = 'subnet-deploy-bicep'
@description('NIC名')
param nicName string = 'nic-deploy-bicep'
@description('VMのサイズ (例: Standard_B1s)')
param vmSize string = 'Standard_B1s'

// --- Key Vault 参照の準備 ---
// Key Vault IDから Key Vault 名を抽出
var keyVaultName = last(split(existingKeyVaultId, '/'))

// Key Vault のプロバイダー情報を取得するための変数 (Bicepが参照を解決するために必要)
// Bicepでは外部リソースへの参照に `resourceId()` が使われますが、Key Vault参照には特殊な構文が必要です。
var keyVaultReference = resourceId(
  subscription().subscriptionId,
  resourceGroup().name,
  'Microsoft.KeyVault/vaults',
  keyVaultName
)

// 1. 仮想ネットワークモジュールのデプロイ
module vnetModule 'modules/vnet.bicep' = {
  name: 'vnet-deployment'
  params: {
    location: location
    vnetName: vnetName
    subnetName: subnetName
  }
}

// 2. ネットワークインターフェースモジュールのデプロイ
module nicModule 'modules/nic.bicep' = {
  name: 'nic-deployment'
  params: {
    location: location
    nicName: nicName
    // VNetモジュールの出力からサブネットIDを取得
    subnetId: vnetModule.outputs.subnetId 
  }
}

// 3. 仮想マシンモジュールのデプロイ
module vmModule 'modules/vm.bicep' = {
  name: 'vm-deployment'
  params: {
    location: location
    vmName: vmName
    adminUsername: adminUsername
    vmSize: vmSize
    nicId: nicModule.outputs.nicId
    
    // Key Vault 参照をシークレットURIとしてVMモジュールに渡す
    // この構文により、デプロイ時にAzure Resource ManagerがKey Vaultからシークレットを取得します。
    adminPassword: '[reference(\'${keyVaultReference}\', \'2023-07-01\').secretUriWithVersion(\'${adminPasswordSecretName}\')]'
  }
}

// 最終的なVM IDを出力
output virtualMachineId string = vmModule.outputs.vmId