在Azure DevOps管道中安全自动化创建Azure Keyvault密钥（不泄露值）

问题背景 #

需要在Azure DevOps Server管道执行过程中，自动创建/更新Azure Key Vault密钥，同时满足两个核心要求：

1. 全程不泄露密钥明文值
2. 仅当密钥值发生变化时才执行创建/更新操作，避免无意义的重复更新

尝试过多种方案均存在缺陷：

• 输入参数：初始化阶段会明文显示密钥值，存在泄露风险
• 运行时变量：无法按需动态生成密钥列表
• 初始脚本：从变量组读取锁定的保密变量时返回null值，无法获取密钥内容
• 更新后脚本：因变量名大小写错误导致值对比失效，触发无意义的重复更新

核心解决方案 #

1. 安全读取保密密钥的正确方式 #

放弃从变量组读取保密变量（API默认不返回加密值，即使加权限也会明文输出），改用Azure DevOps安全文件存储密钥列表：

• 在Azure DevOps库中创建安全文件，内容格式为每行密钥名称=密钥值（值中包含=时，用cut -d '=' -f 2-拆分）
• 管道中通过Download Secure File任务获取文件路径，安全文件在执行过程中加密存储，不会泄露内容到日志

2. 实现仅差异更新的关键修正 #

• 修复变量名大小写错误：原脚本中existing_secretvalue和existing_secretValue大小写不一致，导致对比逻辑失效
• 统一密钥值获取格式：使用--output tsv获取密钥值，避免JSON格式的双引号干扰对比
• 避免明文输出：脚本中仅输出密钥名称和操作结果，绝不打印密钥明文值

最终修正脚本 #

while IFS= read -r line    
do    
  # 拆分密钥名和值（兼容值中包含=的场景）
  name=$(echo "$line" | cut -d '=' -f 1)    
  value=$(echo "$line" | cut -d '=' -f 2-)

  # 检查密钥是否存在于Key Vault
  if az keyvault secret show --vault-name "${{ variables.podkv }}" --name "$name" &>/dev/null; then
    echo "密钥 [$name] 已存在，校验值差异"
    # 获取现有密钥值（TSV格式避免引号）
    existing_value=$(az keyvault secret show --vault-name "${{ variables.podkv }}" --name "$name" --query value --output tsv)
    
    # 对比值（不输出明文）
    if [ "$existing_value" != "$value" ]; then
      echo "密钥 [$name] 值有变更，执行更新"
      expiryDate=$(date -u -d '+2 years' '+%Y-%m-%dT%H:%MZ')    
      az keyvault secret set --vault-name "${{ variables.podkv }}" --name "$name" --value "$value" --expires "$expiryDate" --output none
      
      # 校验更新结果
      updated_value=$(az keyvault secret show --vault-name "${{ variables.podkv }}" --name "$name" --query value --output tsv)
      if [ "$updated_value" != "$value" ]; then
        echo "密钥 [$name] 更新失败"
        exit 1
      else
        echo "密钥 [$name] 更新成功"
        # 可选：从安全文件中移除已同步的密钥（需额外处理文件内容）
      fi
    else
      echo "密钥 [$name] 值无变更，跳过更新"
    fi
  else
    echo "密钥 [$name] 不存在，执行创建"
    expiryDate=$(date -u -d '+2 years' '+%Y-%m-%dT%H:%MZ')    
    az keyvault secret set --vault-name "${{ variables.podkv }}" --name "$name" --value "$value" --expires "$expiryDate" --output none
    
    # 校验创建结果
    created_value=$(az keyvault secret show --vault-name "${{ variables.podkv }}" --name "$name" --query value --output tsv)
    if [ "$created_value" != "$value" ]; then
      echo "密钥 [$name] 创建失败"
      exit 1
    else
      echo "密钥 [$name] 创建成功"
      # 可选：从安全文件中移除已同步的密钥（需额外处理文件内容）
    fi
  fi
done < "$(keyvault.secureFilePath)"

关键说明 #

• 安全文件配置：确保上传的密钥文件标记为「安全文件」，管道中添加Download Secure File任务，将文件路径绑定到keyvault变量
• 权限配置：管道使用的服务主体需拥有：
  • Azure Key Vault的Secret Get、Secret Set权限
  • Azure DevOps的安全文件读取权限
• 避免泄露：脚本中所有操作均不打印密钥明文值，仅输出密钥名称和操作状态
• 兼容场景：支持密钥值中包含=的情况，通过cut -d '=' -f 2-正确拆分值内容

内容的提问来源于stack exchange，提问作者Vowneee