Azure DevOps中如何从流水线变量注入Kubernetes Secret值？

错误原因 #

Kubernetes要求Secret的data字段中所有值必须是Base64编码后的字符串。你直接在secrets.yaml里写$(ACCESS_KEY)，要么流水线没完成变量替换，要么替换后的原始值没经过Base64编码，导致K8s解析时判定这不是合法的Base64数据，所以抛出错误。

解决方案 #

方案1：流水线中动态生成编码后的Secret.yaml

先准备一个模板文件（比如secret-template.yaml），用占位符代替需要注入的秘密：

apiVersion: v1
kind: Secret
metadata:
  name: app-secrets
  namespace: your-namespace
type: Opaque
data:
  ACCESS_KEY: {{ACCESS_KEY_BASE64}}

然后在Azure DevOps流水线中用脚本完成变量替换+Base64编码：

Bash脚本示例：

# 将秘密变量转成Base64编码（-n避免添加换行符干扰）
ACCESS_KEY_BASE64=$(echo -n "$(ACCESS_KEY)" | base64)
# 替换模板生成最终的secret.yaml
sed "s/{{ACCESS_KEY_BASE64}}/$ACCESS_KEY_BASE64/" secret-template.yaml > secret.yaml
# 部署到K8s
kubectl apply -f secret.yaml -n your-namespace

PowerShell脚本示例：

$accessKey = "$(ACCESS_KEY)"
# 编码为Base64
$accessKeyBase64 = [Convert]::ToBase64String([System.Text.Encoding]::UTF8.GetBytes($accessKey))
# 替换模板并生成文件
(Get-Content secret-template.yaml) -replace '{{ACCESS_KEY_BASE64}}', $accessKeyBase64 | Set-Content secret.yaml
# 应用到K8s
kubectl apply -f secret.yaml -n your-namespace

方案2：用Azure DevOps Kubernetes任务直接创建Secret

不用手动写yaml，直接用流水线自带的Kubernetes任务自动处理编码：

• 在流水线中添加「Kubernetes」任务，命令选择create secret
• 配置你的Kubernetes服务连接和目标命名空间
• 秘密类型选择Opaque
• 添加密钥对：名称填ACCESS_KEY，值填$(ACCESS_KEY)
• 运行流水线，任务会自动将秘密值编码为Base64并创建合法的Secret，且秘密内容会被Azure DevOps自动屏蔽，不会出现在日志中

方案3：用Helm管理部署（如果用Helm的话）

如果你的应用用Helm chart部署，可以把秘密作为参数传递：

• 在Helm的values.yaml中配置占位符：

  secrets:
    accessKey: ""
  

• 在流水线中执行Helm命令时注入变量：

  helm install your-app ./chart --set secrets.accessKey=$(ACCESS_KEY) -n your-namespace
  

Helm会自动处理Base64编码，且Azure DevOps会屏蔽日志中的秘密值。

注意事项 #

• Azure DevOps的秘密变量默认是隐藏状态，流水线日志中会显示为***，不用担心泄露
• 绝对不要直接在Secret.yaml的data字段中写未编码的原始秘密或变量名，K8s只会把它当成Base64字符串解析
• 用模板替换时，要确保先对秘密值编码，再替换占位符，不要把变量名本身编码

内容的提问来源于stack exchange，提问作者davidb