如何动态从Azure DevOps变量组获取机密变量并写入Key Vault？

核心逻辑 #

Azure DevOps的机密变量确实没法通过Rest API或CLI直接读取，但流水线运行时，所有已加载的变量组变量（包括机密）都会被注入成环境变量——这就是解决问题的关键，我们可以通过遍历环境变量来动态获取所有目标变量，再写入Key Vault。

具体实现 #

1. 给变量组变量加统一前缀 #

为了避免误处理系统环境变量，给变量组里的所有变量加个统一前缀（比如KV_），例如KV_DBConnectionString、KV_APIKey。

2. 流水线YAML配置 #

直接在流水线里加载变量组，用Azure PowerShell任务遍历环境变量并写入Key Vault：

variables:
- group: 你的目标变量组名称

steps:
- task: AzurePowerShell@5
  inputs:
    azureSubscription: '你的Azure服务连接名称'
    ScriptType: 'InlineScript'
    Inline: |
      $keyVaultName = "你的KeyVault名称"
      
      # 筛选出带指定前缀的环境变量，遍历处理
      Get-ChildItem Env: | Where-Object Name -match "^KV_" | ForEach-Object {
          $secretName = $_.Name -replace "^KV_", ""
          $secretValue = $_.Value
          
          # 写入Key Vault
          Set-AzKeyVaultSecret -VaultName $keyVaultName -Name $secretName -SecretValue (ConvertTo-SecureString $secretValue -AsPlainText -Force)
          Write-Host "Successfully wrote secret: $secretName"
      }
    azurePowerShellVersion: 'LatestVersion'

3. 权限设置 #

• 确保流水线用的服务主体（对应Azure服务连接的身份）在Key Vault上有Set Secret权限，最简单的方式是给它分配Secrets Officer角色。
• 在Key Vault的访问策略里添加这个服务主体，授予秘密的写入权限。

关键说明 #

• 这个方法不需要修改现有变量组的存储方式，新增变量只要保持前缀一致，流水线会自动处理，不用改脚本。
• 不管是机密还是非机密变量，只要在变量组里，都会被注入成环境变量，所以统一处理即可。
• 完全避开了机密变量无法通过API读取的限制，利用的是流水线原生的变量注入机制。

内容的提问来源于stack exchange，提问作者karlochacon