Azure DevOps流水线：KeyVault秘钥明文写入文件失败排查

问题现象 #

从Azure KeyVault获取客户端ID和密钥，尝试明文写入~/.databrickscfg文件用于Databricks服务认证时，出现以下错误：

Error: failed during request visitor: inner token: Post "https://xxx-xxxxxxxxxxxxxxxxxx.x.azuredatabricks.net/oidc/v1/token": {"error":"invalid_client","error_id":"xxxxx-xxxx-xxxx-xxxx-xxxxxx","error_description":"Client authentication failed"}

排查细节：

• 最初怀疑密钥被转成***，但执行ConvertFrom-SecureString时报错Cannot bind parameter 'SecureString'. Cannot convert the value of type "System.String" to type "System.Security.SecureString"，说明密钥本身是普通字符串，仅日志被脱敏。
• 硬编码客户端ID和密钥到配置文件时，认证完全正常；但使用KeyVault变量写入时就失败。

解决方案 #

问题出在PowerShell脚本的字符串拼接和文件写入方式上，以下是修正后的流水线代码：

1. 合并Azure KeyVault任务（可选但推荐） #

将两次KeyVault查询合并为一次，减少冗余步骤：

parameters:
- name: env
  displayName: Select environment
  type: string
  default: P
  values:
  - DT
  - P

steps:
- task: AzureKeyVault@2
  displayName: 'Get Databricks client ID and secret'
  inputs:
    azureSubscription: 'my-subcription'
    keyVaultName: 'my-keyvault-name'
    secretsFilter: 'mysecret-${{ parameters.env }},mysecret-id-${{ parameters.env }}'
    runAsPreJob: false

2. 修正PowerShell写入逻辑 #

使用PowerShell原生的Here-String构造配置内容，避免字符串解析错误，同时用Set-Content直接写入文件：

$databricksHost = "https://xxx-xxxxxxxxxx.x.azuredatabricks.net"
$dbxProfile = "profilename-${{ lower(parameters.env) }}"
$clientSecret = "$(mysecret-${{ parameters.env }})"
$clientId = "$(mysecret-id-${{ parameters.env }})"

# 用Here-String构造完整配置内容，自动处理特殊字符
$configContent = @"
[$dbxProfile]
host = $databricksHost
client_id = $clientId
client_secret = $clientSecret

"@

# 写入用户主目录下的.databricks cfg文件
$configPath = Join-Path $HOME ".databrickscfg"
Set-Content -Path $configPath -Value $configContent -Force

修改说明 #

• Here-String：避免拼接字符串时的转义、空格或特殊字符解析问题，确保配置内容完全符合要求。
• Set-Content：一次性写入完整配置，比多次echo >>更可靠，避免换行符或编码异常。
• $HOME变量：跨平台兼容，确保路径正确指向用户主目录。
• 合并KeyVault任务：减少流水线执行时间，避免重复的Azure订阅验证操作。

验证方式（可选） #

可以添加一个步骤验证配置文件内容（注意仅打印非敏感部分）：

Get-Content (Join-Path $HOME ".databrickscfg") | Select-Object -First 3

日志中会显示配置的头部信息，确认格式正确即可（密钥内容会被Azure DevOps自动脱敏，不影响实际文件中的明文）。

内容的提问来源于stack exchange，提问作者Cribber