Azure Pipeline中KubernetesManifest@0调用Key Vault秘钥部署失败求助

1. 确认KeyVault输出变量的引用方式 #

因为你设置了RunAsPreJob=true，预作业任务的输出变量不能直接用$(变量名)调用，必须加上$(Agent.JobName).PreJob.前缀。比如你给secret-1指定的OutputVariable是secret1Output，后续任务里要写成$($(Agent.JobName).PreJob.secret1Output)才会生效。

修正后的任务配置示例：

- task: AzureKeyVault@2
  displayName: '拉取secret-1'
  inputs:
    azureSubscription: '你的Azure订阅'
    KeyVaultName: '目标KeyVault'
    SecretsFilter: 'secret-1'
    RunAsPreJob: true
    OutputVariable: 'secret1Output'

- task: AzureKeyVault@2
  displayName: '拉取secret-2'
  inputs:
    azureSubscription: '你的Azure订阅'
    KeyVaultName: '目标KeyVault'
    SecretsFilter: 'secret-2'
    RunAsPreJob: true
    OutputVariable: 'secret2Output'

KubernetesManifest任务中正确引用变量：

- task: KubernetesManifest@0
  displayName: '部署到K8s集群'
  inputs:
    action: 'deploy'
    kubernetesServiceConnection: '你的K8s服务连接'
    manifests: './Deployment.yaml'
    secretArguments: '--set secret1=$($(Agent.JobName).PreJob.secret1Output) --set secret2=$($(Agent.JobName).PreJob.secret2Output)'

2. 检查Deployment清单的变量引用匹配度 #

如果用Helm模板方式传递变量，Deployment里的环境变量要这么写：

containers:
- name: your-app-container
  env:
  - name: SECRET_1
    value: {{ .Values.secret1 }}
  - name: SECRET_2
    value: {{ .Values.secret2 }}

如果不用Helm，想用Pipeline变量替换，需要在KubernetesManifest任务里开启变量替换并配置映射：

- task: KubernetesManifest@0
  inputs:
    action: 'deploy'
    kubernetesServiceConnection: '你的K8s服务连接'
    manifests: './Deployment.yaml'
    variables: |
      secret1: $($(Agent.JobName).PreJob.secret1Output)
      secret2: $($(Agent.JobName).PreJob.secret2Output)
    variableSubstitution: 'true'

对应的Deployment清单要写成：

env:
- name: SECRET_1
  value: $(secret1)
- name: SECRET_2
  value: $(secret2)

3. 排查部署卡住的核心原因 #

权限问题 #

检查K8s服务连接使用的账号是否具备足够权限（比如创建/更新Deployment、Secret的权限）。可以给KubernetesManifest任务添加verbosity: 'debug'参数，查看详细日志定位问题：

- task: KubernetesManifest@0
  inputs:
    # 其他配置不变
    verbosity: 'debug'

秘钥格式问题 #

如果秘钥包含特殊字符（空格、引号、转义符等），需要用引号包裹值，避免解析出错：

secretArguments: '--set secret1="$($(Agent.JobName).PreJob.secret1Output)" --set secret2="$($(Agent.JobName).PreJob.secret2Output)"'

集群连通性问题 #

先验证Pipeline代理能否连接K8s集群，添加测试任务：

- task: Kubernetes@1
  displayName: '测试集群连通性'
  inputs:
    connectionType: 'Kubernetes Service Connection'
    kubernetesServiceConnection: '你的K8s服务连接'
    command: 'get'
    arguments: 'nodes'

如果这个任务失败，优先解决集群连接问题。

4. 优化建议：合并KeyVault任务 #

无需创建两个KeyVault任务，一个任务即可批量拉取多个秘钥，降低预作业复杂度：

- task: AzureKeyVault@2
  displayName: '批量拉取秘钥'
  inputs:
    azureSubscription: '你的Azure订阅'
    KeyVaultName: '目标KeyVault'
    SecretsFilter: 'secret-1,secret-2'
    RunAsPreJob: true
    OutputVariable: 'kvSecrets'

引用时使用$($(Agent.JobName).PreJob.kvSecrets.secret-1)和$($(Agent.JobName).PreJob.kvSecrets.secret-2)即可。

内容的提问来源于stack exchange，提问作者Aniss Chohra