Azure DevOps YAML流水线Matrix模式下安全文件授权异常排查

我在Azure DevOps YAML流水线中使用Matrix策略，为Debug和Release环境配置不同参数，用于.NET MAUI iOS应用构建。相关流水线配置如下：

1. Job的Matrix参数配置 #

jobs:
- job: Job_1
  displayName: .Net MAUI Job
  strategy:
    maxParallel: 2
    matrix: 
      Debug:
        BuildConfiguration: Debug
        ProvProfile: 'My_Testing_Profile.mobileprovision'
        CertSecureFile: 'ios_development.p12'
        CertPwd: $(IOSP12Password-testing)
      Release:
        BuildConfiguration: Release
        ProvProfile: 'My_Distribution_Profile.mobileprovision'
        CertSecureFile: 'ios_distribution.p12'
        CertPwd: $(IOSP12Password-distribution)

2. 证书与描述文件安装任务 #

- task: InstallAppleCertificate@2
      displayName: Install Apple Certificate
      inputs:
        certSecureFile: $(CertSecureFile)
        certPwd: $(CertPwd)
        setUpPartitionIdACLForPrivateKey: false
        deleteCert: false
        deleteCustomKeychain: false

    - task: InstallAppleProvisioningProfile@1
      displayName: Install Testing Apple Provisioning Profile
      inputs:
        provisioningProfileLocation: 'secureFiles'
        provProfileSecureFile: $(ProvProfile)

3. Dotnet Publish任务 #

- task: DotNetCoreCLI@2
  displayName: 'dotnet publish ($(BuildConfiguration))'
  inputs:
    command: 'publish'
    publishWebProjects: false
    projects: 'My_MobileApp.sln'
    arguments: '-f:net6.0-ios -c:$(BuildConfiguration) -r ios-arm64 /p:ArchiveOnBuild=true /p:EnableAssemblyILStripping=false'
    zipAfterPublish: false
    modifyOutputPath: false

其中IOSP12Password-testing和IOSP12Password-distribution是流水线中配置的变量。运行流水线时触发以下资源授权错误：

The pipeline is not valid.
Job Job_1: Step InstallAppleCertificate input certSecureFile references secure file $(CertSecureFile) which could not be found. The secure file does not exist or has not been authorized for use.
Job Job_1: Step InstallAppleProvisioningProfile input provProfileSecureFile references secure file $(ProvProfile) which could not be found. The secure file does not exist or has not been authorized for use.

我注意到BuildConfiguration参数能正常工作，但ProvProfile、CertSecureFile这些关联Secure File的参数却报错，同时怀疑CertPwd也存在潜在问题，需要排查原因。

排查与解决步骤 #

1. 确认Secure File的存在性 #

• 进入Azure DevOps项目的管道 > 库 > 安全文件，检查以下文件是否已上传，且文件名与Matrix配置完全一致（包括大小写、后缀）：
  • My_Testing_Profile.mobileprovision
  • My_Distribution_Profile.mobileprovision
  • ios_development.p12
  • ios_distribution.p12

2. 授权流水线使用Secure File #

Azure DevOps的Secure File需要单独授权给流水线，即使文件已上传：

• 在安全文件列表中，点击对应文件的**... > 授权给流水线**
• 选择当前流水线，确认授权状态为已授权
• 对所有4个涉及的Secure File重复此操作

3. 修正Matrix中保密变量的引用语法 #

Matrix中引用流水线保密变量时，必须用双引号包裹，否则会被当作普通字符串处理，导致无法正确解析：

matrix: 
  Debug:
    BuildConfiguration: Debug
    ProvProfile: 'My_Testing_Profile.mobileprovision'
    CertSecureFile: 'ios_development.p12'
    CertPwd: "$(IOSP12Password-testing)"  # 添加双引号
  Release:
    BuildConfiguration: Release
    ProvProfile: 'My_Distribution_Profile.mobileprovision'
    CertSecureFile: 'ios_distribution.p12'
    CertPwd: "$(IOSP12Password-distribution)"  # 添加双引号

4. 验证流水线变量配置 #

• 进入流水线的编辑 > 变量，确认IOSP12Password-testing和IOSP12Password-distribution已正确配置，且敏感密码已勾选保密选项。

5. 为什么BuildConfiguration能正常工作？ #

BuildConfiguration是普通字符串变量，不需要访问Secure File或保密变量的特殊权限，Matrix可以直接解析并传递给后续任务。而ProvProfile、CertSecureFile指向需要授权的Secure File资源，CertPwd是需要正确引用的保密变量，这些都有额外的权限和语法要求，因此会出现差异。

内容的提问来源于stack exchange，提问作者David Shochet