Azure DevOps管道仅能获取单个Azure Key Vault秘钥，其余无法获取求助

可能原因 #

• SecretsFilter格式错误：逗号后存在空格，导致任务将带空格的字符串识别为秘钥名称，无法匹配正确的秘钥。
• RunAsPreJob变量可见性问题：预作业（RunAsPreJob: true）加载的变量在主作业中可能存在传递故障。
• AzureKeyVault@1任务版本限制：旧版本任务存在多秘钥加载的已知兼容性问题。
• 秘钥状态异常：目标秘钥被禁用、过期或处于软删除状态。
• 变量覆盖：管道中其他任务设置了同名变量，覆盖了Key Vault加载的秘钥值。

解决步骤 #

1. 检查SecretsFilter格式 #

确保秘钥名称间的逗号后无空格，修正后的格式如下：

SecretsFilter: 'SecretOne,SecretTwo,SecretThree,SecretFour'

2. 验证秘钥加载日志 #

查看AzureKeyVault@1任务的执行日志，确认日志中是否输出Loaded 4 secrets（或对应数量）：

• 如果日志显示仅加载1个秘钥：检查目标秘钥的名称拼写、状态（启用/禁用），以及服务主体对该秘钥的Get权限（部分场景下访问策略的List权限不代表单个秘钥的Get权限）。
• 如果日志显示加载了全部秘钥：说明变量已存在，可能是日志屏蔽导致显示异常，改用printenv命令验证变量是否存在：

  script: |
      printenv | grep -E "SecretOne|SecretTwo|SecretThree|SecretFour"
      echo "SecretTwo exists? ${SecretTwo:+yes}"
  

3. 切换至AzureKeyVault@2任务 #

AzureKeyVault@2是更新的稳定版本，修复了v1的部分已知问题，替换后的任务配置：

- task: AzureKeyVault@2
  inputs:
    azureSubscription: 'my-azure-subscription'
    KeyVaultName: 'my-keyvault'
    SecretsFilter: 'SecretOne,SecretTwo,SecretThree,SecretFour'
    RunAsPreJob: false

4. 关闭RunAsPreJob测试 #

将RunAsPreJob设置为false，避免预作业与主作业间的变量传递问题：

RunAsPreJob: false

5. 排查变量覆盖情况 #

检查管道中所有任务，确认是否有其他任务通过variables或set variable操作设置了SecretTwo等同名变量，导致Key Vault加载的值被覆盖。

6. 确认秘钥状态 #

在Azure Portal的Key Vault中，检查SecretTwo、SecretThree、SecretFour的状态：

• 确保秘钥处于启用状态，未过期。
• 确认秘钥未被软删除（如果是，需恢复后才能访问）。

内容的提问来源于stack exchange，提问作者DEicebergslim