如何通过Azure CLI更新Pipeline变量组中的机密变量（非Key Vault关联）？

可以实现通过Azure CLI或Pipeline脚本更新机密变量，你之前的命令失败是因为缺少--secret参数，导致Azure CLI错误地重置了机密变量的值。以下是具体操作方法：

一、使用Azure CLI更新机密变量组变量 #

机密变量的更新需要显式声明--secret参数，否则CLI会默认按非机密变量处理，导致值被清空为null。正确的命令如下：

az pipelines variable-group variable update \
  --group-id 261 \
  --name <变量名> \
  --value <新的机密值> \
  --secret \
  --organization <组织URL> \
  --project "Test"

关键说明： #

• --secret参数必须添加，它告诉CLI该变量是机密类型，会按照机密变量的逻辑处理更新请求。
• 执行命令后，CLI返回的value字段仍会显示为null，这是正常现象——Azure DevOps不会在API响应中返回机密变量的实际值，但变量组中的值已经成功更新，你可以登录Azure DevOps门户查看变量组确认。

二、在Pipeline脚本中更新机密变量 #

你可以在Azure DevOps Pipeline中通过Azure CLI任务执行上述命令，需要确保Pipeline使用的服务账户（如Project Collection Build Service）拥有变量组的编辑权限。

示例Pipeline YAML：

steps:
- task: AzureCLI@2
  displayName: 更新机密变量
  inputs:
    azureSubscription: '<你的服务连接名称>'
    scriptType: 'bash'
    scriptLocation: 'inlineScript'
    inlineScript: |
      az pipelines variable-group variable update \
        --group-id 261 \
        --name <变量名> \
        --value $(新机密值) \
        --secret \
        --organization $(System.CollectionUri) \
        --project $(System.TeamProject)

注意事项： #

• 若在Pipeline中传递新的机密值，建议将该值作为Pipeline的机密变量传入（即$(新机密值)是Pipeline的机密变量），避免明文暴露。
• 确保服务账户已被授予变量组的编辑权限：进入变量组页面 → 点击右上角的“安全” → 添加服务账户并赋予“编辑”权限。

内容的提问来源于stack exchange，提问作者Ahmed Hassan