如何在Azure DevOps Pipeline中通过环境变量动态引用Key Vault密钥

问题分析 #

你通过AzureKeyVault@2任务加载了指定名称的密钥，但直接用$(SECRET_VAR)只能拿到密钥名称字符串，无法获取实际密钥值。这是因为$(SECRET_VAR)存储的是密钥名，而Azure Key Vault任务会将加载的密钥值注入为环境变量，环境变量名是密钥名的大写形式，且特殊字符（如-）会被替换为_。

解决方案 #

通过Bash的间接变量引用语法，先将密钥名转换为对应的环境变量名，再获取其值并设置为输出变量：

- task: Bash@3
  name: getToken
  inputs:
    targetType: 'inline'
    script: |
      # 把密钥名转换为Azure Key Vault注入的环境变量格式：大写，替换连字符为下划线
      SECRET_ENV_NAME=$(echo "$SECRET_VAR" | tr '[:lower:]' '[:upper:]' | tr '-' '_')
      # 间接引用环境变量，获取实际密钥值
      SECRET_VALUE=${!SECRET_ENV_NAME}
      # 设置输出变量
      echo "##vso[task.setvariable variable=myToken;isOutput=true]$SECRET_VALUE"

关键说明 #

1. 环境变量命名规则：AzureKeyVault@2加载密钥后，会自动创建环境变量，命名规则为：
   • 密钥名转为全大写
   • 所有非字母数字的字符（如-、.）替换为_
     例如密钥名dev-secret会对应环境变量DEV_SECRET，密钥名app.api.key会对应APP_API_KEY。
2. 间接变量引用：Bash中${!VAR_NAME}语法可以通过变量名的字符串值，间接获取该变量的内容，完美适配动态密钥名的场景。
3. 多流水线适配：这种方式无需硬编码密钥名，只需保证SECRET_VAR变量传入正确的密钥名称，即可在不同流水线中动态加载对应密钥值。

内容的提问来源于stack exchange，提问作者Bennimi