如何在Azure DevOps多环境部署中管理密码与ConnectionStrings

针对你遇到的多环境密钥管理问题，以下是几种无需将敏感信息存入版本控制系统（VCS）、仅在发布阶段注入密钥的可行方案：

方案一：Azure DevOps变量组 + Web.config XML变换 #

• 在Azure DevOps的库模块下，创建两个保密变量组：Staging-Secrets和Production-Secrets，分别存入对应环境的连接字符串、密码等敏感值，所有变量勾选「保密」选项，避免值被泄露。
• 发布管道中，给Staging部署阶段关联Staging-Secrets变量组，Production阶段关联Production-Secrets变量组。
• 为Web项目添加环境专属的变换配置文件：Web.Staging.config和Web.Production.config，用占位符标记需要替换的敏感项，示例如下：

  <connectionStrings>
    <add name="MainDbConn" connectionString="__DB_CONN_STRING__" 
         providerName="System.Data.SqlClient" 
         xdt:Transform="SetAttributes" xdt:Locator="Match(name)"/>
  </connectionStrings>
  <appSettings>
    <add key="WcfAuthPassword" value="__WCF_PWD__" 
         xdt:Transform="SetAttributes" xdt:Locator="Match(key)"/>
  </appSettings>
  

• 在发布任务中，启用「XML变换」功能（可通过独立的「XML变换」任务，或在「Azure App Service部署」任务中勾选对应选项），发布时自动将变量组中的敏感值替换到Web.config的对应位置。

方案二：Azure App Service 应用设置直接覆盖 #

• 登录Azure门户，分别进入Staging和Production环境的App Service，打开配置 > 应用设置：
  • 对于连接字符串，直接添加类型为「SQL Server」（或对应类型）的项，填入敏感值，Azure会自动覆盖Web.config中同名的connectionStrings节点。
  • 对于普通敏感配置（如WCF密码），添加键值对形式的应用设置，会自动覆盖Web.config的appSettings节点。
• Azure DevOps发布管道无需额外处理密钥，直接部署即可——App Service会优先使用门户配置的敏感值，本地/构建环节的Web.config只需保留非敏感的默认配置。
• 若需在DevOps中统一管理，可添加「Azure App Service设置」任务，将DevOps变量组中的保密变量同步到对应环境的App Service应用设置中。

方案三：Azure Key Vault 集成 #

• 为Staging和Production环境分别创建独立的Azure Key Vault，将连接字符串、密码等敏感信息存入密钥库的「机密」项。
• 给对应环境的App Service启用「系统分配托管标识」，并在Key Vault的访问策略中，为该托管标识分配「机密读取」权限。
• 在App Service的应用设置中，通过引用格式直接调用Key Vault机密，示例：

  @Microsoft.KeyVault(VaultName=my-staging-vault;SecretName=MainDbConn)
  

  App Service会自动从Key Vault拉取敏感值，Web.config无需包含任何敏感信息。
• 若需通过DevOps发布流程注入，可添加「Azure Key Vault」任务，将机密拉取到发布管道变量中，再结合XML变换或App Service设置任务完成注入。

注意事项 #

• 所有敏感变量/机密必须标记为「保密」，避免在日志、界面中暴露。
• 基础Web.config仅保留非敏感配置，绝不硬编码任何密钥信息。
• WCF服务的敏感配置（如端点凭证、密码）可套用上述方案，通过XML变换或App Service设置完成覆盖。

内容的提问来源于stack exchange，提问作者Mohamed Akour