Azure DevOps Pipeline Az CLI任务报错：'NoneType' object is not iterable

报错根源 #

你遇到的ERROR: 'NoneType' object is not iterable是AZ CLI底层Python执行时抛出的，核心原因有三个：

1. 硬编码索引的风险：脚本直接通过$cert_array[1]获取目标证书，但当符合条件的证书数量不足2时，该索引对应的元素为$null，触发解析错误；
2. JMESPath查询的引号问题：脚本中使用DOMAINNAME双反引号转义，导致AZ CLI无法正确解析查询条件，当无匹配结果时返回null而非空数组，进而引发Python迭代错误；
3. 缺乏有效性校验：未对az keyvault certificate list的输出做空值或格式校验，直接操作可能无效的结果。

尽管任务报错，但证书已被软删除，说明az keyvault certificate delete命令实际执行成功，错误发生在命令执行后的脚本逻辑或AZ CLI输出解析阶段。

修复后的脚本 #

以下是修正后的Pipeline任务脚本，解决了上述问题：

- task: AzureCLI@2
  displayName: Delete the cert from previous run
  inputs:
    scriptType: pscore
    azureSubscription: 'Prod service connection'
    scriptLocation: inlineScript
    inlineScript: | 
      # 获取符合条件的证书（包含名称和创建时间），转换为PowerShell对象
      $cert_list = az keyvault certificate list --vault-name "prodVAULTNAME" --query '[?contains(name, `"DOMAINNAME`") && length(name) >=12].{name: name, created: attributes.created}' | ConvertFrom-Json
      
      # 无匹配证书时直接退出，避免后续错误
      if (-not $cert_list) {
        Write-Host "No old certificates found for deletion."
        exit 0
      }
      
      # 按创建时间排序，取最旧的证书（确保删除的是上一次运行生成的旧条目）
      $old_cert = $cert_list | Sort-Object -Property created | Select-Object -First 1
      
      # 校验名称长度后执行删除
      if ($old_cert.name.Length -gt 12) {
        Write-Host "Deleting old certificate: $($old_cert.name)"
        az keyvault certificate delete --vault-name ${{variables.vaultname}} -n $old_cert.name
      } else {
        Write-Host "Certificate name does not meet length requirement, skipping deletion."
      }

关键修复点 #

• 转为PowerShell对象处理：用ConvertFrom-Json将AZ CLI的JSON输出转为对象，避免直接操作字符串数组的解析问题；
• 替换硬编码索引：按创建时间排序取最旧证书，逻辑更可靠，不会因证书数量变化触发null错误；
• 添加空值校验：无匹配证书时直接退出，避免后续无效操作；
• 修正查询引号：用"DOMAINNAME"正确转义字符串常量，确保JMESPath查询能准确匹配证书名称；
• 增加日志输出：便于排查任务执行状态，定位问题。

额外建议 #

• 可以在脚本中添加try/catch错误捕获，确保即使删除命令出现异常，也能输出详细日志并控制任务状态；
• 若证书名称的年月后缀格式固定（比如domain-202405），可以直接通过匹配后缀的方式筛选旧证书，进一步提高准确性。

内容的提问来源于stack exchange，提问作者Evgenii Fedosov