如何在Web Activity的Header中使用Azure Key Vault密钥

你直接把Key Vault秘密的URL填到Authorization头里肯定不行——API要的是密钥的实际字符串值，不是秘密的存储路径。必须先从Key Vault里把密钥值取出来，再传到请求头里。下面分两种常见生产管道场景给出具体解决方法：

场景1：Azure DevOps Pipeline中调用API #

• 先添加「Azure Key Vault」任务，配置你的Key Vault名称，勾选要获取的API-KEY-sec秘密。这一步会把密钥值注入到Pipeline的变量中。
• 在发送POST请求的环节（比如PowerShell脚本、HTTP任务），直接引用这个变量作为Authorization头的值：
  示例PowerShell脚本：

  $headers = @{
      "Content-Type" = "application/json"
      "Authorization" = "$(API-KEY-sec)"
  }
  $requestBody = @{ "data" = "your-content" } | ConvertTo-Json
  Invoke-RestMethod -Uri "你的API端点URL" -Method Post -Headers $headers -Body $requestBody
  

  如果用Azure DevOps自带的HTTP任务，直接在Authorization字段里填$(API-KEY-sec)就行。

场景2：Azure Logic Apps中调用API #

• 先添加「Azure Key Vault - 获取秘密」操作，配置Key Vault连接，指定秘密名称API-KEY-sec。
• 在后续的「HTTP」操作里设置请求头：
  • Content-Type填application/json
  • Authorization从动态内容面板里选「获取秘密」操作返回的Secret Value字段，别选秘密的URL。

注意事项 #

• 确保你的生产管道（DevOps/Logic Apps）拥有Key Vault的Secret Get权限，可通过Key Vault的访问策略或Azure RBAC配置。
• 测试时可以临时输出变量值（别在生产环境这么做），确认是否正确拿到了密钥的实际内容。

内容的提问来源于stack exchange，提问作者lifeofthenoobie