Azure Devops中无法使用Key Vault时跨流水线访问变量的方案咨询

核心思路 #

借助Azure DevOps REST API查询流水线B的变量组或流水线级变量，通过PowerShell脚本调用API获取数据，无需依赖Key Vault。

具体实现步骤 #

1. 配置必要权限 #

• 确保流水线A的执行账号（服务账号/用户）拥有流水线B所在项目的变量读取权限与项目访问权限。
• 若使用个人访问令牌（PAT），需为其授予Variable Groups (Read)和Build (Read)权限。

2. 方法一：读取流水线B的变量组变量 #

如果流水线B的变量存储在共享变量组中，可直接查询该变量组：

# 配置参数
$orgUrl = "https://dev.azure.com/你的组织名"
$projectName = "你的项目名"
$variableGroupId = "目标变量组ID" # 可在变量组页面URL中提取
$token = "$env:SYSTEM_ACCESSTOKEN" # 流水线系统令牌，需在流水线设置中开启"允许脚本访问OAuth令牌"

# 调用REST API获取变量组
$headers = @{
    "Authorization" = "Bearer $token"
    "Content-Type" = "application/json"
}
$apiUrl = "$orgUrl/$projectName/_apis/distributedtask/variablegroups/$variableGroupId?api-version=7.1-preview.2"
$variableGroup = Invoke-RestMethod -Uri $apiUrl -Headers $headers -Method Get

# 提取目标变量值
$targetVariableValue = $variableGroup.variables."目标变量名".value
Write-Host "流水线B的目标变量值：$targetVariableValue"

3. 方法二：读取流水线B的流水线级变量 #

如果变量是流水线B自身定义的（非变量组存储），需先获取流水线定义ID，再查询变量：

# 配置参数
$orgUrl = "https://dev.azure.com/你的组织名"
$projectName = "你的项目名"
$pipelineName = "流水线B的名称"
$token = "$env:SYSTEM_ACCESSTOKEN"

$headers = @{
    "Authorization" = "Bearer $token"
    "Content-Type" = "application/json"
}

# 第一步：查询流水线B的定义ID
$pipelineApiUrl = "$orgUrl/$projectName/_apis/build/definitions?name=$pipelineName&api-version=7.1-preview.7"
$pipelineDefinition = Invoke-RestMethod -Uri $pipelineApiUrl -Headers $headers -Method Get
$pipelineId = $pipelineDefinition.value[0].id

# 第二步：查询流水线定义中的变量
$variablesApiUrl = "$orgUrl/$projectName/_apis/build/definitions/$pipelineId?api-version=7.1-preview.7"
$pipelineVariables = Invoke-RestMethod -Uri $variablesApiUrl -Headers $headers -Method Get

# 提取目标变量值
$targetVariableValue = $pipelineVariables.variables."目标变量名".value
Write-Host "流水线B的目标变量值：$targetVariableValue"

4. 流水线配置注意事项 #

• 在流水线A的「Agent job」设置中，勾选允许脚本访问OAuth令牌，确保$env:SYSTEM_ACCESSTOKEN能获取有效令牌。
• 若使用PAT替代系统令牌，需将PAT存入流水线A的秘密变量中，通过$env:自定义PAT变量名调用，禁止明文写在脚本内。

内容的提问来源于stack exchange，提问作者Lee Andrew