Azure Pipeline：用Key Vault中JSON密钥构建环境变量的方案是否可行？

我们在Azure Key Vault中有一个名为“my-top-secret”的密钥，格式如下：

{"primaryKey": "someKey1", "secondaryKey": "someKey2", "primaryUrl": "someUrl.net"}

我们需要利用该密钥中的某一个密钥和“primaryUrl”动态构建连接字符串。请问在部署YAML中使用依赖环境变量来实现这一需求是否合理？我刚接触YAML和Azure开发，根据文档我认为这些是运行时变量，因此编写了如下语法：

env:
  - name: my-top-secret
    value: my-top-secret@azurekeyvault
  - name: my-top-secret-values
    value: $[convertToJson(my-top-secret)]
  - name: connection-string
    value: "$[my-top-secret-values.primaryUrl],abortConnect=false,ssl=true,password=$[my-top-secret-values.primaryKey]"

• 合理性分析：思路方向是对的，但你的写法存在关键问题，无法正确解析Key Vault中的JSON格式密钥。Azure部署YAML里的@azurekeyvault引用只能获取密钥的原始字符串值，不能直接将其当作可访问属性的JSON对象使用。

• 当前写法的问题：

  • my-top-secret变量拿到的是Key Vault里的JSON字符串，并非可直接操作的对象，convertToJson(my-top-secret)会把这个字符串再次转成JSON格式的字符串，导致后续无法通过.primaryUrl这类方式读取属性。
  • 部署YAML的变量解析逻辑中，没有内置直接将JSON字符串解析为对象的函数，所以你这样的写法最终会生成无效的连接字符串。

• 正确实现方式：

  1. ARM/Bicep部署模板场景：使用json()函数先将密钥的字符串值解析为JSON对象，再提取属性构建连接字符串：

     variables:
       secretJson: json(reference('Microsoft.KeyVault/vaults/secrets', '2023-02-01').secretUriWithVersion)
       connectionString: '[concat(secretJson.primaryUrl, ',abortConnect=false,ssl=true,password=', secretJson.primaryKey)]'
     env:
       - name: connection-string
         value: '[variables('connectionString')]'
     

  2. Azure DevOps管道场景：通过PowerShell任务读取密钥、解析JSON后构建连接字符串，再设置为环境变量：

     steps:
       - task: AzureKeyVault@2
         inputs:
           azureSubscription: '你的Azure订阅名称'
           KeyVaultName: '你的KeyVault名称'
           SecretsFilter: 'my-top-secret'
           RunAsPreJob: true
       - pwsh: |
           $secretObj = ConvertFrom-Json -InputObject $(my-top-secret)
           $connectionString = "$($secretObj.primaryUrl),abortConnect=false,ssl=true,password=$($secretObj.primaryKey)"
           echo "##vso[task.setvariable variable=connection-string;issecret=true]$connectionString"
       - script: echo $(connection-string)
         env:
           connection-string: $(connection-string)
     

• 总结：直接在环境变量中嵌套解析JSON的写法不可行，需要根据你使用的是Azure资源部署模板YAML还是Azure DevOps管道YAML，选择对应方式解析JSON密钥并构建连接字符串。

内容的提问来源于stack exchange，提问作者pikkabird