Azure Pipeline模板：动态获取并存储Key Vault密钥问题求助

问题背景 #

我在学习练习中尝试搭建YAML模板，实现动态拉取Azure Key Vault中的密钥并让这些密钥能在多个作业间复用。当前配置了带secretsFilter字符串参数的模板，使用AzureKeyVault@2任务拉取密钥后，通过Bash脚本循环处理密钥名，但在使用$($secretName)获取密钥值时触发“command not found”错误。推测是混淆了Azure DevOps管道的编译时占位符和Bash的运行时变量。考虑过改用对象数组替代逗号分隔字符串，但还没实现，想知道怎么修改配置来满足需求。

当前模板代码 #

parameters:
- name: secretsFilter
  type: string

jobs:
- job: kv
  displayName: Fetch keyvault variables
  pool: MAPLE-STAGING
  steps:
  - checkout: none
  - task: AzureKeyVault@2
    inputs:
      azureSubscription: 'x'
      KeyVaultName: 'y'
      SecretsFilter: ${{ parameters.secretsFilter }}

  - script: |
      secrets="${{ replace(parameters.secretsFilter, ',', ' ') }}"
      for secretName in $secrets; do
        echo "##vso[task.setvariable variable=$secretName;isoutput=true;issecret=false;isreadonly=true]$($secretName)"
      done
    name: kv

调用模板代码 #

- template: keyvault-practice.yml
    parameters:
      secretsFilter: 'some-user,some-password'

无循环的正确示例（参考） #

echo "##vso[task.setvariable variable=some-user-name;isoutput=true;issecret=true;isreadonly=true]$(some-user-name)"

错误原因 #

脚本里的$($secretName)写法错误：Bash会将其解析为命令替换，即尝试把$secretName的值当作可执行命令运行，而非引用Azure DevOps注入的密钥变量，因此触发“command not found”错误。

解决方案 #

方案1：修改现有字符串参数的脚本逻辑 #

针对当前的逗号分隔字符串参数，调整脚本的变量引用方式，解决命令替换的问题：

parameters:
- name: secretsFilter
  type: string

jobs:
- job: kv
  displayName: Fetch keyvault variables
  pool: MAPLE-STAGING
  steps:
  - checkout: none
  - task: AzureKeyVault@2
    inputs:
      azureSubscription: 'x'
      KeyVaultName: 'y'
      SecretsFilter: ${{ parameters.secretsFilter }}

  - script: |
      # 将逗号分隔字符串转为数组，避免空格分割异常
      IFS=',' read -r -a secrets <<< "${{ parameters.secretsFilter }}"
      for secretName in "${secrets[@]}"; do
        # Azure DevOps会将带特殊字符的密钥名转为「大写+下划线」格式的环境变量
        envVarName=$(echo "$secretName" | tr '-' '_' | tr '[:lower:]' '[:upper:]')
        secretValue=$(printenv "$envVarName")
        echo "##vso[task.setvariable variable=$secretName;isoutput=true;issecret=false;isreadonly=true]$secretValue"
      done
    name: kv

说明：

• 用IFS=',' read将字符串转为数组，避免密钥名含空格时的分割错误
• 通过tr命令转换密钥名为Azure DevOps标准环境变量格式，再用printenv获取值，这是最可靠的引用方式

方案2：改用对象数组参数（更灵活） #

如果需要为每个密钥单独配置属性（比如是否标记为保密），可以将参数改为对象数组：

修改后的模板代码

parameters:
- name: secrets
  type: object
  default: []
  # 每个对象结构：{ name: 'secret-name', isSecret: true }

jobs:
- job: kv
  displayName: Fetch keyvault variables
  pool: MAPLE-STAGING
  steps:
  - checkout: none
  - task: AzureKeyVault@2
    inputs:
      azureSubscription: 'x'
      KeyVaultName: 'y'
      # 将数组中的密钥名拼接为逗号分隔字符串
      SecretsFilter: ${{ join(',', parameters.secrets.*.name) }}

  - script: |
      # 提取密钥名和对应保密属性
      secrets=(${{ join(' ', parameters.secrets.*.name) }})
      isSecretList=(${{ join(' ', parameters.secrets.*.isSecret) }})
      
      for i in "${!secrets[@]}"; do
        secretName="${secrets[$i]}"
        isSecret="${isSecretList[$i]}"
        # 转换为标准环境变量格式并取值
        envVarName=$(echo "$secretName" | tr '-' '_' | tr '[:lower:]' '[:upper:]')
        secretValue=$(printenv "$envVarName")
        echo "##vso[task.setvariable variable=$secretName;isoutput=true;issecret=$isSecret;isreadonly=true]$secretValue"
      done
    name: kv

调用模板的代码

- template: keyvault-practice.yml
    parameters:
      secrets:
        - name: 'some-user'
          isSecret: false
        - name: 'some-password'
          isSecret: true

说明：

• 对象数组支持为每个密钥单独配置isSecret属性，适配不同保密需求
• 通过join函数自动拼接AzureKeyVault@2所需的逗号分隔密钥列表

跨作业使用密钥的方式 #

后续作业需通过作业间变量引用获取输出的密钥：

jobs:
- template: keyvault-practice.yml
  parameters:
    secretsFilter: 'some-user,some-password'
- job: useSecret
  displayName: Use fetched secrets
  dependsOn: kv
  variables:
    someUser: $[ dependencies.kv.outputs['kv.some-user'] ]
    somePassword: $[ dependencies.kv.outputs['kv.some-password'] ]
  steps:
  - script: |
      echo "User: $(someUser)"
      echo "Password: $(somePassword)"

内容的提问来源于stack exchange，提问作者Michiel