Azure DevOps变量传递异常：Microsoft托管代理IP规则清理受阻

核心问题分析 #

跨作业传递IP_LIST变量为空，本质是Azure DevOps输出变量的引用逻辑没走对，加上托管代理IP的动态性，单纯依赖变量累积容易出问题。以下是具体解决方法：

1. 修正跨作业输出变量的配置与引用 #

如果坚持用变量累积IP，必须严格遵循以下步骤：

• 设置输出变量时指定任务名称：在生成输出变量的任务中，必须给任务加name属性，否则后续无法定位变量。示例：

  - bash: |
      AGENT_IP=$(curl -s ifconfig.me)
      # 累积IP，若之前有值则追加
      EXISTING_IPS=$(dependencies.AddIPRule1.outputs['CollectIP1.IP_LIST'] || "")
      NEW_IPS="$EXISTING_IPS,$AGENT_IP"
      echo "##vso[task.setvariable variable=IP_LIST;isOutput=true]$NEW_IPS"
    name: CollectIP2
    displayName: "Collect agent IP and update list"
  

• 引用时通过依赖作业+任务名称定位：后续作业必须声明依赖，且引用格式为dependencies.<依赖作业名>.outputs['<任务名>.IP_LIST']，注意大小写完全匹配。示例：

  - job: Cleanup
    dependsOn: [AddIPRule1, AddIPRule2]
    steps:
    - bash: |
        # 获取所有累积的IP
        ALL_IPS=$(dependencies.AddIPRule2.outputs['CollectIP2.IP_LIST'])
        # 移除多余的开头逗号（如果初始为空）
        ALL_IPS=${ALL_IPS#,}
        for IP in $(echo $ALL_IPS | tr ',' ' '); do
          az keyvault network-rule remove --name $(KV_NAME) --ip-address $IP
        done
  

• 初始化流水线级变量：在流水线变量中给IP_LIST设初始值为空字符串，避免第一次引用时因变量不存在导致为空。

2. 更可靠的替代方案：用标签关联流水线运行ID #

跨作业传递变量容易受作用域、依赖关系影响，推荐给临时IP规则添加流水线运行ID标签，清理时直接查询删除对应标签的规则，完全规避变量传递问题：

步骤1：添加IP规则时附带标签

- bash: |
    AGENT_IP=$(curl -s ifconfig.me)
    # 给KeyVault添加IP规则并打标签
    az keyvault network-rule add --name $(KV_NAME) --ip-address $AGENT_IP
    az keyvault update --name $(KV_NAME) --set properties.networkAcls.ipRules[-1].tags.PipelineRunId=$(Build.BuildId)
    
    # Storage Account同理
    az storage account network-rule add --name $(SA_NAME) --ip-address $AGENT_IP
    az storage account update --name $(SA_NAME) --set properties.networkAcls.ipRules[-1].tags.PipelineRunId=$(Build.BuildId)
  displayName: "Add tagged IP rules to resources"

步骤2：清理时根据标签删除规则

- bash: |
    # 清理KeyVault的临时IP规则
    STALE_KV_IPS=$(az keyvault network-rule list --name $(KV_NAME) --query "ipRules[?tags.PipelineRunId=='$(Build.BuildId)'].value" -o tsv)
    for IP in $STALE_KV_IPS; do
      az keyvault network-rule remove --name $(KV_NAME) --ip-address $IP
    done
    
    # 清理Storage Account的临时IP规则
    STALE_SA_IPS=$(az storage account network-rule list --name $(SA_NAME) --query "ipRules[?tags.PipelineRunId=='$(Build.BuildId)'].value" -o tsv)
    for IP in $STALE_SA_IPS; do
      az storage account network-rule remove --name $(SA_NAME) --ip-address $IP
    done
  displayName: "Cleanup stale IP rules by pipeline tag"

常见踩坑点 #

• 输出变量的isOutput=true必须写对，少了或写错都无法跨作业传递
• 依赖作业名称、任务名称的大小写必须严格匹配，Azure DevOps对大小写敏感
• 托管代理每次运行的IP可能变化，不要假设同一流水线内代理IP固定

内容的提问来源于stack exchange，提问作者Niviral