如何在Azure DevOps经典管道PowerShell任务中执行Key Vault命令密钥？

• 别把完整命令当密钥存：Azure Key Vault的机密一旦被判定为敏感内容就会自动掩码，而且直接存整条命令本身也不安全。正确做法是把命令里的敏感参数（比如服务主体ID、密钥、租户ID）拆出来单独存成机密，脚本只保留命令框架，动态引用这些机密。
  举个例子，原命令az login --service-principal -u <client-id> -p <client-secret> --tenant <tenant-id>，拆成三个机密：

  • AZURE_CLIENT_ID：存<client-id>
  • AZURE_CLIENT_SECRET：存<client-secret>
  • AZURE_TENANT_ID：存<tenant-id>

• 经典管道里配置Key Vault机密引用：

  1. 打开经典管道编辑页，先添加「Azure Key Vault」任务，配置好对应的Key Vault，勾选要用到的那三个机密，这个任务要放在PowerShell任务前面执行。
  2. 这些机密会自动注入管道的环境变量里，变量名就是你设的机密名称，注意大小写。

• 修改PowerShell脚本拼接命令：
  把外部脚本里的完整命令换成下面这段：

  az login --service-principal -u $env:AZURE_CLIENT_ID -p $env:AZURE_CLIENT_SECRET --tenant $env:AZURE_TENANT_ID
  

  执行时环境变量会自动替换成真实的机密值，既不会被掩码挡住执行，还能保证敏感信息不泄露。

• 最后检查权限：确保PowerShell任务有足够的执行权限（比如需要的话勾选「以管理员身份运行」），同时Azure服务连接有权限访问Key Vault里的机密。

内容的提问来源于stack exchange，提问作者Mudit Balooja