从YAML管道传递Secret变量至PowerShell脚本时类型转换错误求助

在Azure DevOps管道中运行AzurePowerShell@5任务执行独立PowerShell脚本，配置如下：

- task: AzurePowerShell@5
  displayName: "PowerShell Script"
  inputs:
    azureSubscription: "Platform - Management"
    ScriptType: "filePath"
    ScriptPath: ./post_migration/post-migration.ps1
    ScriptArguments: "-SubscriptionId ${env:SUBSCRIPTIONID} -ResourceGroup ${env:RESOURCEGROUP} -VmName ${env:VMNAME} -Username ${env:USERNAME} -Password ${env:PWD}"
    azurePowerShellVersion: "LatestVersion"
  env:
    PWD: $(Password)

其中变量Password标记为“Keep this value secret”，用于每次指定不同值。

PowerShell脚本中$Password参数定义：

[Parameter(Mandatory = $true)]
[ValidateNotNullOrEmpty()]
[SecureString]$Password

运行管道时出现错误：

Cannot process argument transformation on parameter 'Password'. Cannot convert the "***" value of type "System.String" to type "System.Security.SecureString".

其他变量正常，仅秘密变量Password报错，问题出在哪里？

问题根源是：Azure DevOps的秘密变量通过环境变量传递时，会以明文字符串形式传递，但脚本参数要求的是SecureString类型，直接传递会导致类型转换失败。

提供两种解决方法：

方法1：脚本内转换类型 #

修改脚本的Password参数类型为String，在脚本内部将其转换为SecureString使用：

[Parameter(Mandatory = $true)]
[ValidateNotNullOrEmpty()]
[String]$Password

# 内部转换为SecureString
$securePassword = ConvertTo-SecureString $Password -AsPlainText -Force

后续脚本逻辑使用$securePassword即可。

方法2：管道参数中直接转换 #

修改ScriptArguments，利用PowerShell语法将字符串转为SecureString后传递：

ScriptArguments: "-SubscriptionId ${env:SUBSCRIPTIONID} -ResourceGroup ${env:RESOURCEGROUP} -VmName ${env:VMNAME} -Username ${env:USERNAME} -Password (ConvertTo-SecureString '${env:PWD}' -AsPlainText -Force)"

注意用单引号包裹${env:PWD}，避免特殊字符引发解析问题。

额外说明 #

• Azure DevOps秘密变量在日志中会被掩码为***，但通过环境变量传递时本质仍是字符串，无法直接映射为PowerShell的SecureString类型。
• 优先推荐方法1，脚本内部处理类型转换更清晰，也避免管道参数中复杂的语法嵌套。

内容的提问来源于stack exchange，提问作者Santa