如何在Python版Azure Function中正确格式化私有SSH密钥作为环境变量？

首先，针对你遇到的Azure环境变量不支持多行值导致的密钥无效问题，按照你偏好的优先级给出解决方案：

1. 直接修正Azure环境变量的密钥格式（代码改动最少） #

Azure Function的环境变量确实不支持直接输入多行文本，但可以用**\n替代实际换行**来表示多行内容，注意以下几点：

• 不需要用单引号包裹整个密钥字符串（单引号会被当成密钥的一部分，导致Paramiko识别失败）
• 保留密钥的首尾标记行（-----BEGIN RSA PRIVATE KEY-----和-----END RSA PRIVATE KEY-----）
• 把密钥的每一行（包括首尾标记）用\n连接成单行字符串

比如，你的密钥原本是：

-----BEGIN RSA PRIVATE KEY-----
MIIEpAIBAAKCAQEAz...
...
-----END RSA PRIVATE KEY-----

在Azure门户的应用设置中，把环境变量SSH_PKEY的值设置为：

-----BEGIN RSA PRIVATE KEY-----\nMIIEpAIBAAKCAQEAz...\n...\n-----END RSA PRIVATE KEY-----

你的原有代码不需要改动，因为io.StringIO(SSH_PKEY)会自动把\n解析为换行符，Paramiko就能正确识别密钥了。

⚠️ 注意：不要在\n前后添加多余空格，否则会破坏密钥的格式。

2. 用Base64编码密钥，以文件形式加载（不暴露明文） #

如果第一种方法还是有问题，可以把密钥编码为Base64单行字符串，再在代码中解码为临时文件加载：

步骤1：本地编码密钥 #

• Linux/macOS终端：

  base64 -i your_private_key > key_base64.txt
  

• Windows PowerShell：

  [Convert]::ToBase64String([IO.File]::ReadAllBytes("your_private_key")) | Out-File key_base64.txt
  

把生成的Base64字符串复制到Azure环境变量SSH_PKEY_BASE64中。

步骤2：代码中解码并加载 #

修改密钥加载的代码片段：

import base64
import tempfile
import os
import paramiko
from dotenv import load_dotenv

load_dotenv()
SSH_HOSTNAME = os.getenv('SSH_HOSTNAME')
SSH_USERNAME = os.getenv('SSH_USERNAME')
SSH_PKEY_BASE64 = os.getenv('SSH_PKEY_BASE64')

# 解码Base64字符串为字节
pkey_content = base64.b64decode(SSH_PKEY_BASE64).decode('utf-8')
# 创建临时文件存储密钥
with tempfile.NamedTemporaryFile(mode='w', delete=False) as temp_key:
    temp_key.write(pkey_content)

# 加载密钥并建立连接
ssh = paramiko.SSHClient()
ssh.set_missing_host_key_policy(paramiko.AutoAddPolicy())
key = paramiko.RSAKey.from_private_key_file(temp_key.name)
ssh.connect(hostname=SSH_HOSTNAME, username=SSH_USERNAME, pkey=key)

# 用完临时文件后删除
os.unlink(temp_key.name)

3. 使用Azure Key Vault（最安全的方案） #

如果你的组织允许，用Key Vault存储密钥是最安全的选择，而且Key Vault支持多行Secret：

步骤1：在Key Vault中存储密钥 #

• 进入Azure Key Vault，创建一个新的Secret，把完整的多行私钥直接粘贴到Secret的值中（不需要任何转义）。

步骤2：配置Function访问Key Vault #

• 给Azure Function的系统分配身份添加Key Vault的Secret User权限（在Key Vault的“访问策略”中配置）。

步骤3：在Function中引用Secret #

在Azure Function的应用设置中添加环境变量SSH_PKEY，值为Key Vault Secret的引用：

@Microsoft.KeyVault(SecretUri=https://<你的密钥库名称>.vault.azure.net/secrets/<你的Secret名称>)

步骤4：代码无需改动 #

你的原有代码可以直接使用，因为Azure会自动把Secret的多行值注入到环境变量中，io.StringIO(SSH_PKEY)能正确解析换行。

你可能犯的简单错误排查 #

回顾你之前的尝试，以下几点可能导致密钥无效：

1. 多余的单引号：在Azure环境变量中用单引号包裹密钥，会导致Paramiko把单引号当成密钥的一部分，破坏格式。
2. 换行符转义错误：如果手动添加\n时，在\n前后加了空格（比如line1 \n line2），会导致密钥的每行多出空格，无法识别。
3. 密钥格式不匹配：如果你的密钥是OpenSSH格式（开头为-----BEGIN OPENSSH PRIVATE KEY-----），而不是RSA格式，用paramiko.RSAKey.from_private_key会失败，此时需要改用paramiko.PrivateKey.from_private_key(io.StringIO(SSH_PKEY))来加载通用格式的私钥。
4. 复制时的多余字符：粘贴密钥到Azure环境变量时，不小心引入了首尾的空格或换行，也会导致密钥无效。

内容的提问来源于stack exchange，提问作者gigagondy