Azure DevOps变量组关联Key Vault报错，求解决方案

错误信息 #

Error: 扩展变量组资源数据：无法获取Azure密钥值。错误：( code: unused, messge: 无法查询服务连接API: 'https://ecn-dev-we-hub-kv.vault.azure.net/secrets?api-version=2016-10-01'。错误信息: '发送请求时发生错误。' )
with module.azuredevops.azuredevops_variable_group.example_keyvault_link,
on azuredevops\main.tf line 38, in resource "azuredevops_variable_group" "example_keyvault_link":
38: resource "azuredevops_variable_group" "example_keyvault_link" {

问题场景 #

尝试用Terraform创建Azure DevOps变量组并关联Key Vault机密，代码如下：

provider "azuredevops" {
org_service_url = var.org_service_url
personal_access_token = var.personal_access_token
}
data "azuredevops_project" "project" {
name = var.project_name
}

data "azuredevops_serviceendpoint_azurerm" "serviceendpoint" {
project_id            = data.azuredevops_project.project.id
service_endpoint_name = "testing"
}

resource "azuredevops_variable_group" "example" {
project_id   = data.azuredevops_project.project.id
name         = var.variablegroup_name
description  = "Example Variable Group Description"
allow_access = true
depends_on = [
data.azuredevops_serviceendpoint_azurerm.serviceendpoint
]
key_vault {
name                = "${var.prefix}-kv"
service_endpoint_id = data.azuredevops_serviceendpoint_azurerm.serviceendpoint.id
}
variable {
name = "storageAccountKey"
}

variable {
name = "localAdminSecret"
}
}

当前问题：

• 注释key_vault块后执行流水线，可成功创建变量组；
• 取消注释key_vault块再次执行，能完成机密关联；
• 直接执行完整代码（不注释key_vault）则触发上述报错。

解决方案 #

1. 确保服务连接具备Key Vault权限 #

检查Azure DevOps中"testing"服务连接对应的Azure AD应用/服务主体，是否拥有Key Vault的机密读取权限（Secret Reader）：

• 登录Azure门户，找到目标Key Vault；
• 进入「访问控制(IAM)」，添加角色分配，将"机密读取者"角色分配给服务连接对应的身份；
• 等待权限生效（通常1-5分钟）。

2. 强化资源依赖逻辑 #

虽然已配置depends_on，但服务连接与Key Vault的权限同步可能存在延迟，可尝试：

• 如果Key Vault也是Terraform管理的，添加对Key Vault资源的依赖：

  depends_on = [
    data.azuredevops_serviceendpoint_azurerm.serviceendpoint,
    azurerm_key_vault.your_kv_resource # 替换为实际Key Vault资源名称
  ]
  

• 若Key Vault非Terraform管理，添加本地延迟脚本确保权限同步：

  resource "null_resource" "wait_for_permissions" {
    provisioner "local-exec" {
      command = "sleep 30" # 可根据实际情况调整延迟时长
    }
    depends_on = [data.azuredevops_serviceendpoint_azurerm.serviceendpoint]
  }
  
  resource "azuredevops_variable_group" "example" {
    # 保留原有配置
    depends_on = [null_resource.wait_for_permissions]
  }
  

3. 验证变量与机密名称匹配 #

确保variable块中的name（storageAccountKey、localAdminSecret）与Key Vault中存在的机密名称完全一致（区分大小写），机密不存在会直接导致查询失败。

4. 检查服务连接有效性 #

确认"testing"服务连接在Azure DevOps项目中正常可用：

• 进入Azure DevOps项目「项目设置」→「服务连接」；
• 找到"testing"连接，点击「验证」确认能正常连接到Azure订阅。

内容的提问来源于stack exchange，提问作者Deepika