如何在管道运行中将Key Vault获取的密钥传入ARM模板部署？

两种处理思路 #

思路1：让参数文件的Key Vault引用直接生效 #

你的参数文件配置本身合规，但部署时未解析引用，大概率是权限或部署任务配置问题：

• 确认部署任务使用的服务主体，和你提到的拥有Key Vault Secrets User角色的是同一个主体
• 在Azure DevOps的部署任务（比如AzureResourceManagerTemplateDeployment@3）中，无需额外禁用Key Vault引用相关设置，默认只要服务主体有权限，部署引擎会自动解析参数文件里的Key Vault引用。

如果确认权限没问题但仍不生效，可尝试思路2，用管道变量直接传入密钥值。

思路2：用管道中获取的密钥覆盖参数文件参数 #

AzureKeyVault@2任务会自动将获取到的密钥注入为管道变量（变量名就是你指定的SECRET），因此可在部署任务中通过overrideParameters参数，把这个变量值传给模板的SECRET_PARAM，覆盖参数文件里的引用：

示例部署任务配置：

- task: AzureResourceManagerTemplateDeployment@3
  displayName: 'Deploy ARM Template'
  inputs:
    azureSubscription: 'SUBSCRIPTION'
    resourceGroupName: 'RESOURCEGROUP'
    templateLocation: 'Linked artifact'
    csmFile: 'path/to/your/bicep/file.bicep'
    csmParametersFile: 'path/to/your/parameters/file.json'
    overrideParameters: '-SECRET_PARAM $(SECRET)'
    deploymentMode: 'Incremental'

部署时会优先使用overrideParameters传入的$(SECRET)变量值，参数文件里的其他参数仍会正常生效。

额外说明 #

• overrideParameters仅会覆盖指定参数，不影响参数文件里的其他配置
• 需确保AzureKeyVault@2任务在部署任务之前执行，保证变量能被正确注入

内容的提问来源于stack exchange，提问作者yamh