Azure Key Vault机密读取异常：通过Bash变量引用机密时提示‘command not found’

这个问题我之前帮人排查过，核心是你混淆了Azure DevOps Pipeline的变量引用语法和Bash自身的命令替换语法，咱们一步步理清楚：

为什么会报「command not found」？ #

你直接用$(secretVar)能拿到值，是因为这是Azure Pipeline的内置变量引用规则——Pipeline在把脚本传递给Bash执行之前，就会把$(secretVar)替换成Key Vault里对应的机密值。

但当你写$($secretname)时，Pipeline不会识别这是一个变量引用（因为它不是明确的$(变量名)格式），所以这段代码会原封不动传给Bash。Bash看到$($secretname)，会先解析$secretname得到机密名称（比如secretVar），然后把这个名称当成可执行命令去运行，自然就会报「command not found」——毕竟secretVar本身不是系统里的命令。

两种可行的解决办法 #

方法1：利用Azure Pipeline注入的环境变量 #

Azure DevOps会自动把所有Pipeline变量（包括从Key Vault拉取的机密）注入到Bash的环境变量中，规则是：

• 变量名转为大写
• 空格替换为下划线（如果有的话）

比如你的secretVar会变成环境变量SECRET_VAR。我们可以用Bash的间接变量引用来动态获取对应的值：

# 假设你的机密名称列表是这些
secret_names=("secretVar" "dbPassword" "apiKey")

for secretname in "${secret_names[@]}"; do
    # 把机密名称转成符合环境变量规则的格式
    env_var=$(echo "$secretname" | tr '[:lower:]' '[:upper:]' | tr ' ' '_')
    # 间接引用环境变量，拿到机密值
    secret_value="${!env_var}"
    echo "机密${secretname}的值是：${secret_value}"
done

方法2：直接用Azure CLI动态拉取 #

如果你的Pipeline已经配置了访问Key Vault的权限（比如用Service Principal或托管标识），可以直接在循环里调用Azure CLI命令获取机密，不需要依赖Pipeline变量注入：

KEY_VAULT_NAME="你的Key Vault名称"
secret_names=("secretVar" "dbPassword" "apiKey")

for secretname in "${secret_names[@]}"; do
    # 调用az命令拉取机密，用tsv格式输出值
    secret_value=$(az keyvault secret show --name "$secretname" --vault-name "$KEY_VAULT_NAME" --query "value" -o tsv)
    echo "机密${secretname}的值是：${secret_value}"
done

两种方法的适用场景 #

• 方法1适合你已经在Pipeline里配置了「从Key Vault拉取机密作为变量」的场景，不需要额外调用CLI，速度更快。
• 方法2适合需要动态遍历大量机密、或者不想预先在Pipeline里定义变量的场景，灵活性更高。

内容的提问来源于stack exchange，提问作者SDuma