GitHub Actions切换Azure OIDC登录后输出变量无法传递问题

1. 修正ARM模板输出类型 #

如果ARM模板里acsEmailWriteRoleId的输出类型是securestring，直接改成string——角色ID不属于敏感数据，没必要用安全字符串类型：

"outputs": {
  "acsEmailWriteRoleId": {
    "type": "string",
    "value": "[resourceId('Microsoft.Authorization/roleAssignments', variables('roleAssignmentName'))]"
  }
}

2. 显式导出输出变量 #

在ARM部署步骤之后，手动把输出写入GITHUB_OUTPUT，绕开GitHub Actions的自动敏感数据判断：

- name: Deploy ARM template
  id: arm-deploy
  uses: azure/arm-deploy@v1
  with:
    subscriptionId: ${{ secrets.AZURE_SUBSCRIPTION_ID }}
    resourceGroupName: <你的资源组名>
    template: ./template.json
    parameters: ./parameters.json

- name: Export role ID to workflow output
  id: export-role-id
  run: echo "acsEmailWriteRoleId=${{ steps.arm-deploy.outputs.acsEmailWriteRoleId }}" >> $GITHUB_OUTPUT

3. 子工作流向父工作流传递的配置 #

如果是子工作流，必须在作业的outputs字段里明确声明要传递的变量：

jobs:
  deploy:
    runs-on: ubuntu-latest
    outputs:
      acsEmailWriteRoleId: ${{ steps.export-role-id.outputs.acsEmailWriteRoleId }}
    steps:
      # Azure OIDC登录步骤...
      # ARM部署步骤...
      - name: Export role ID to workflow output
        id: export-role-id
        run: echo "acsEmailWriteRoleId=${{ steps.arm-deploy.outputs.acsEmailWriteRoleId }}" >> $GITHUB_OUTPUT

父工作流调用时，直接引用子工作流的作业输出即可。

4. 备选方案：用Azure CLI直接获取ID #

如果上述方法仍无效，跳过ARM部署的输出，直接用Azure CLI查询角色ID并输出：

- name: Fetch role assignment ID
  id: get-role-id
  run: |
    ROLE_ID=$(az role assignment list \
      --resource-group <你的资源组名> \
      --name "acsEmailWriteRole" \
      --query "[0].id" -o tsv)
    echo "acsEmailWriteRoleId=$ROLE_ID" >> $GITHUB_OUTPUT

内容的提问来源于stack exchange，提问作者Piotr Gębalski