Azure Key Vault命名规范适配DevOps Pipeline FileTransform任务问题

场景概述 #

当前系统部署在本地Windows IIS服务器，生产密钥暂存于Git仓库的appsettings.production.json中，计划迁移至Azure Key Vault提升安全性。现有20个仅部署目标不同的Azure DevOps发布管道，未来1年才会整体迁移至Azure环境，需立即将密钥移出Git。

核心问题：Azure DevOps的FileTransform任务要求JSON路径用点（.）分隔（如AppSettings.Username），但Azure Key Vault仅允许密钥名称用连字符（-）（如AppSettings-Username），导致替换失效。已排除管道变量存密钥（安全性低、重复配置）、直接部署appsettings.production.json（管控不足）两种方案。

可行解决方案 #

方案1：管道内通过PowerShell转换密钥名称 #

在从Key Vault拉取密钥后、执行FileTransform前，添加PowerShell任务将密钥名称的连字符替换为点，再设置为管道变量，适配FileTransform的命名要求。

示例脚本：

# 筛选所有来自Key Vault的目标密钥（可根据实际前缀调整匹配规则）
$kvSecretVars = Get-ChildItem Env: | Where-Object { $_.Name -match "^AppSettings-" }

foreach ($var in $kvSecretVars) {
    # 将连字符替换为点，生成符合FileTransform要求的变量名
    $transformedVarName = $var.Name.Replace("-", ".")
    # 设置为保密管道变量，供后续FileTransform任务调用
    Write-Host "##vso[task.setvariable variable=$transformedVarName;issecret=true]$($var.Value)"
}

操作步骤：

1. 在Azure DevOps发布管道中，将该PowerShell任务放在「Azure Key Vault」任务之后，「File Transform」任务之前。
2. 确保Key Vault任务已将密钥导入为管道环境变量。

方案2：使用Azure Key Vault密钥别名功能 #

为Key Vault中的密钥设置带点分隔的别名，在Azure DevOps拉取时直接使用别名作为变量名，无需修改现有密钥名称。

设置别名的方式：

• Azure门户：进入目标Key Vault → 选择对应密钥 → 「属性」→ 在「标签」中添加alias=AppSettings.Username（替换为目标JSON路径）。
• Azure CLI：

az keyvault secret set-attributes --name "AppSettings-Username" --vault-name "你的密钥库名称" --tags "alias=AppSettings.Username"

管道配置：
在Azure DevOps的「Azure Key Vault」任务中，勾选「使用别名作为变量名」（不同版本界面可能略有差异），拉取后变量名即为带点的格式，可直接被FileTransform识别。

方案3：自定义PowerShell脚本直接修改JSON文件 #

跳过内置的FileTransform任务，编写PowerShell脚本直接读取Key Vault密钥，精准修改appsettings.json的对应节点，不受命名规则限制。

示例脚本：

# 定义appsettings.json路径（根据实际部署包路径调整）
$appSettingsFile = "$(System.DefaultWorkingDirectory)/YourBuildArtifact/appsettings.json"

# 读取并解析JSON内容
$appSettings = Get-Content $appSettingsFile -Raw | ConvertFrom-Json

# 替换指定节点（Key Vault密钥名称保持连字符格式，直接调用管道变量）
$appSettings.AppSettings.Username = "$(AppSettings-Username)"
$appSettings.AppSettings.Password = "$(AppSettings-Password)"
$appSettings.ConnectionStrings.Default = "$(ConnectionStrings-Default)"

# 将修改后的内容写回文件
$appSettings | ConvertTo-Json -Depth 10 | Set-Content $appSettingsFile -Encoding UTF8

优势：适用于复杂JSON结构，可灵活映射任意Key Vault密钥到JSON节点，无需依赖FileTransform的规则。

内容的提问来源于stack exchange，提问作者Thomas