如何让Azure DevOps流水线永久访问新上传的Secure File？

方案1：用Azure DevOps CLI自动化权限配置 #

每次完成新Secure File的上传后，通过CLI命令自动给目标流水线或项目权限组授予访问权限，替代手动操作：

• 先确保安装并登录Azure DevOps CLI：

  az login
  az devops login
  

• 在上传Secure File的脚本后，追加权限配置命令：

  # 获取目标Secure File的ID
  FILE_ID=$(az pipelines secure-file list --organization "你的组织URL" --project "你的项目名" --query "[?name=='你的Secure文件名'].id" -o tsv)
  
  # 给指定流水线授予读取权限（2代表读取权限，替换流水线ID）
  az pipelines secure-file permission set --id $FILE_ID --organization "你的组织URL" --project "你的项目名" --subject-id "流水线ID" --subject-type "definition" --allow 2
  

  若要给项目内所有流水线授权，可将--subject-type设为group，--subject-id替换为项目流水线相关组的ID。

方案2：跳过Secure File，直接集成Azure Key Vault #

既然核心需求是更新Key Vault机密，可直接在流水线中用Azure CLI或内置任务操作，彻底规避Secure File的权限问题：

• 使用Azure CLI更新Key Vault机密示例：

  az keyvault secret set --vault-name "你的Key Vault名称" --name "目标机密名" --value "新机密值"
  

  只需为流水线服务主体分配Key Vault的Secrets Officer角色，即可自动完成机密更新，无需依赖Secure File。

方案3：通过专用权限组统一管理访问 #

1. 在Azure DevOps项目中创建安全组（比如SecureFileAccessGroup）
2. 将所有需要访问该Secure File的流水线服务主体、相关用户加入此组
3. 给该组授予目标Secure File的读取权限
4. 后续更新Secure File时，新上传的同名文件会自动继承组权限（若为删除后重传，可在上传脚本中用CLI命令同步重新配置组权限）

此方式只需维护组内成员，无需每次更新后单独给流水线授权。

内容的提问来源于stack exchange，提问作者Vowneee