Azure DevOps管道中避免az keyvault secret set打印密钥的正确方法

核心问题根源 #

az keyvault secret set命令默认会输出包含密钥值的完整JSON响应，导致密钥被打印到DevOps运行日志中。以下是几种可靠的解决方法：

方法1：直接抑制命令输出 #

给az keyvault secret set添加-o none（或完整写法--output none）参数，命令执行后不会输出任何内容，从根源上避免日志泄露密钥：

- task: AzureCLI@2
  displayName: Add key to Function App keyvault
  inputs:
    azureSubscription: azsub
    scriptType: bash
    scriptLocation: inlineScript
    inlineScript: >-
       secret=$(az ml online-endpoint get-credentials -n name -g group -w workspace -o tsv --query primaryKey);
                
       az keyvault secret set --vault-name keyvault --name keyname --value $secret -o none

方法2：只输出非敏感信息 #

如果需要确认命令执行成功，但不想暴露密钥，可以用--query指定只输出非敏感字段（比如密钥名称、创建时间），配合输出格式限制内容：

- task: AzureCLI@2
  displayName: Add key to Function App keyvault
  inputs:
    azureSubscription: azsub
    scriptType: bash
    scriptLocation: inlineScript
    inlineScript: >-
       secret=$(az ml online-endpoint get-credentials -n name -g group -w workspace -o tsv --query primaryKey);
                
       az keyvault secret set --vault-name keyvault --name keyname --value $secret --query "{name:name, created:attributes.created}" -o tsv

这种方式日志里只会显示密钥名称和创建时间，不会出现敏感的密钥值。

关于变量赋值的风险说明 #

你尝试的将命令输出赋值给普通变量的方式，存在一定风险：Azure DevOps的普通变量会被记录在管道的变量列表中（未标记为秘密变量时），可能被后续步骤或权限较高的用户查看。相比之下，直接抑制输出或仅输出非敏感信息的方式更安全简洁。

另外补充：你当前使用的az ml online-endpoint get-credentials命令已经通过--query primaryKey和-o tsv限制了输出内容，只会返回密钥本身，Azure CLI默认不会将这类敏感输出记录到日志中，无需额外处理。

内容的提问来源于stack exchange，提问作者WEVERETT