获取Azure DevOps管道的Azure主体ID并解决密钥库权限问题

核心问题原因 #

Azure DevOps管道依赖服务连接对应的服务主体执行操作，新建密钥库后默认不会为该服务主体分配权限，导致后续复制机密时触发权限不足的报错。需在创建密钥库后自动为服务主体配置访问策略。

解决方案步骤 #

1. 获取管道运行时的服务主体ID

管道通过服务连接完成认证后，当前执行上下文即为对应服务主体。可在PowerShell任务中直接获取其ID：

• 使用Azure PowerShell模块：

  $context = Get-AzContext
  $servicePrincipalId = $context.Account.Id
  

• 或使用Azure CLI：

  $servicePrincipalId = (az account show --query user.id -o tsv)
  

2. 创建密钥库并即时添加访问策略

在第一个PowerShell任务中，完成资源组和密钥库创建后，立刻为服务主体分配所需的机密权限（如Get、List、Set）：

# 定义变量
$resourceGroupName = "YourResourceGroup"
$newKeyVaultName = "NewKeyVault"
$location = "EastUS"

# 创建资源组
New-AzResourceGroup -Name $resourceGroupName -Location $location -Force

# 创建密钥库
New-AzKeyVault -Name $newKeyVaultName -ResourceGroupName $resourceGroupName -Location $location

# 获取服务主体ID
$context = Get-AzContext
$servicePrincipalId = $context.Account.Id

# 配置访问策略
Set-AzKeyVaultAccessPolicy -VaultName $newKeyVaultName `
    -ResourceGroupName $resourceGroupName `
    -ServicePrincipalName $servicePrincipalId `
    -PermissionsToSecrets Get,List,Set

3. 确认服务连接的基础权限

确保服务连接对应的服务主体拥有资源组的参与者权限（或更细粒度的密钥库参与者角色），否则无法完成密钥库创建或访问策略配置。可在Azure门户的资源组「访问控制(IAM)」页面添加角色分配。

4. 复制机密的任务脚本示例

第二个任务中，服务主体已具备目标密钥库的权限，可正常执行机密复制：

$sourceKeyVaultName = "SourceKeyVault"
$targetKeyVaultName = "NewKeyVault"

# 获取源密钥库的所有机密
$secrets = Get-AzKeyVaultSecret -VaultName $sourceKeyVaultName

# 遍历复制到目标密钥库
foreach ($secret in $secrets) {
    $secretValue = Get-AzKeyVaultSecret -VaultName $sourceKeyVaultName -Name $secret.Name -AsPlainText
    Set-AzKeyVaultSecret -VaultName $targetKeyVaultName -Name $secret.Name -SecretValue (ConvertTo-SecureString $secretValue -AsPlainText -Force)
}

注意事项 #

• 密钥库名称需全局唯一，避免命名冲突。
• 若使用Azure CLI任务，确保管道环境已安装对应版本的CLI工具。
• 权限范围可根据实际需求调整（如仅需复制操作可保留Get和Set权限）。

内容的提问来源于stack exchange，提问作者Dmitriy Ryabin