Azure DevOps中Azure CLI任务SAS Token无法跨任务传递问题求助

针对跨订阅存储账户复制时SAS Token无法在任务间传递的问题，下面列出核心排查点和解决方案：

常见问题原因及修复 #

1. ##vso命令语法错误 #

• 确保命令格式正确，变量名无特殊字符，且用双引号包裹（单引号会导致变量无法解析）：

  # 正确写法
  echo "##vso[task.setvariable variable=sourceSAS;]$SOURCE_SAS"
  # 错误写法（单引号会保留$SOURCE_SAS字面量）
  echo '##vso[task.setvariable variable=sourceSAS;]$SOURCE_SAS'
  

• 如果是跨作业/阶段传递变量，必须添加isOutput=true标记：

  echo "##vso[task.setvariable variable=sourceSAS;isOutput=true]$SOURCE_SAS"
  

2. 变量引用方式错误 #

• 同作业内：直接用$(variableName)引用即可。
• 跨作业：需要通过依赖作业的outputs属性获取，示例：

  jobs:
  - job: GenSAS
    steps:
    - task: AzureCLI@2
      name: getSourceSAS
      inputs:
        inlineScript: |
          SOURCE_SAS=$(az storage account generate-sas ...)
          echo "##vso[task.setvariable variable=sourceSAS;isOutput=true]$SOURCE_SAS"
  - job: CopyData
    dependsOn: GenSAS
    variables:
      sourceSAS: $[ dependencies.GenSAS.outputs['getSourceSAS.sourceSAS'] ]
    steps:
    - script: echo "Source SAS: $(sourceSAS)"
  

3. SAS Token生成未成功 #

在生成SAS的任务中添加echo语句，确认Token已正确生成（日志中会显示Token内容，可能被部分mask，但至少能看到非空值）：

SOURCE_SAS=$(az storage account generate-sas --account-name source-acc --expiry 2024-12-31T23:59:59Z --permissions rl --services b --resource-types sco --output tsv)
# 验证生成结果
echo "Generated Source SAS: $SOURCE_SAS"
echo "##vso[task.setvariable variable=sourceSAS;]$SOURCE_SAS"

4. PowerShell脚本中的输出问题 #

如果使用PowerShell任务，不要用echo（对应Write-Output）输出##vso命令，改用Write-Host避免换行或格式异常：

$SOURCE_SAS = az storage account generate-sas ...
Write-Host "##vso[task.setvariable variable=sourceSAS;]$SOURCE_SAS"

完整可运行示例YAML #

trigger: none

pool:
  vmImage: 'ubuntu-latest'

jobs:
- job: GenerateSAS
  displayName: 生成源/目标存储账户SAS Token
  steps:
  - task: AzureCLI@2
    displayName: 生成源存储SAS
    name: getSourceSAS
    inputs:
      azureSubscription: '源订阅服务连接'
      scriptType: bash
      inlineScript: |
        SOURCE_SAS=$(az storage account generate-sas \
          --account-name source-storage-acc \
          --expiry $(date -d "+7 days" +%Y-%m-%dT%H:%M:%SZ) \
          --permissions rl \
          --services b \
          --resource-types sco \
          --output tsv)
        echo "源SAS已生成: $SOURCE_SAS"
        echo "##vso[task.setvariable variable=sourceSAS;isOutput=true]$SOURCE_SAS"

  - task: AzureCLI@2
    displayName: 生成目标存储SAS
    name: getDestSAS
    inputs:
      azureSubscription: '目标订阅服务连接'
      scriptType: bash
      inlineScript: |
        DEST_SAS=$(az storage account generate-sas \
          --account-name dest-storage-acc \
          --expiry $(date -d "+7 days" +%Y-%m-%dT%H:%M:%SZ) \
          --permissions wac \
          --services b \
          --resource-types sco \
          --output tsv)
        echo "目标SAS已生成: $DEST_SAS"
        echo "##vso[task.setvariable variable=destSAS;isOutput=true]$DEST_SAS"

- job: RunAzCopy
  displayName: 用AzCopy跨订阅复制存储内容
  dependsOn: GenerateSAS
  variables:
    sourceSAS: $[ dependencies.GenerateSAS.outputs['getSourceSAS.sourceSAS'] ]
    destSAS: $[ dependencies.GenerateSAS.outputs['getDestSAS.destSAS'] ]
  steps:
  - task: AzureCLI@2
    displayName: 执行AzCopy复制
    inputs:
      scriptType: bash
      inlineScript: |
        # 下载AzCopy
        wget -O azcopy.tar.gz https://aka.ms/downloadazcopy-v10-linux && tar -xf azcopy.tar.gz --strip-components=1
        chmod +x azcopy
        # 执行复制
        ./azcopy copy "https://source-storage-acc.blob.core.windows.net/?$(sourceSAS)" "https://dest-storage-acc.blob.core.windows.net/?$(destSAS)" --recursive=true
        echo "复制完成，退出码: $?"

额外排查点 #

• 确认生成SAS的服务主体拥有存储账户的Storage Account Contributor或Storage Blob Data Contributor权限。
• 检查SAS Token的权限（源需要读/列表权限，目标需要写/添加/创建权限）和有效期是否符合要求。

内容的提问来源于stack exchange，提问作者ValKiriann