如何通过变量引用AzureKeyVault@2任务获取的动态密钥值？

问题场景 #

• 在variables.yaml中定义了动态变量keyVaultSecretToRetrieve，其值随部署环境变化
• 单一环境下，AzureKeyVault@2任务指定SecretsFilter: "secret1"时，可直接通过$(secret1)引用密钥值
• 改为SecretsFilter: $(keyVaultSecretToRetrieve)后，无法使用嵌套变量语法$($(keyVaultSecretToRetrieve))获取密钥
• 构建服务器未安装Azure CLI，需基于Windows代理的PowerShell步骤实现无CLI方案

当前AzureKeyVault任务配置 #

- task: AzureKeyVault@2
  displayName: Retrieve from keyvault
  inputs:
    azureSubscription: $(serviceConnection)
    KeyVaultName: $(keyVaultName)
    SecretsFilter: $(keyVaultSecretToRetrieve)
    RunAsPreJob: false

解决技巧 #

AzureKeyVault@2任务获取密钥后，会自动将其注入为流水线环境变量（密钥名转为全大写，特殊字符替换为下划线），可通过PowerShell的动态变量特性直接读取：

方法1：通过环境变量动态读取 #

在后续PowerShell步骤中，先获取动态密钥名称，再转换为环境变量格式读取值：

# 获取动态配置的密钥名称
$targetSecret = "$(keyVaultSecretToRetrieve)"
# 转换为Azure DevOps环境变量的格式（大写+下划线替换特殊字符）
$envVarName = $targetSecret.Replace("-", "_").Replace(".", "_").ToUpper()
# 读取密钥值
$secretValue = [Environment]::GetEnvironmentVariable($envVarName, "Process")

# 使用示例
Write-Host "获取到的密钥值：$secretValue"
# 若需传递给后续步骤，可设置为本地变量或流水线变量
Set-Variable -Name $targetSecret -Value $secretValue

方法2：通过VSTS任务SDK读取流水线变量 #

利用Azure DevOps内置的任务SDK直接获取动态变量值：

# 导入VSTS任务模块（部分代理默认已加载）
Import-Module "$env:SYSTEM_DEFAULTWORKINGDIRECTORY\_tasks\AzureKeyVault_*\2.*\Modules\VstsTaskSdk" -Force

# 读取动态密钥对应的变量值
$targetSecret = "$(keyVaultSecretToRetrieve)"
$secretValue = Get-VstsTaskVariable -Name $targetSecret -Require

# 使用示例
Write-Host "密钥[$targetSecret]的值：$secretValue"

跨任务传递密钥值 #

如果需要将密钥值传递给后续非PowerShell任务，可在PowerShell步骤中设置为流水线变量：

$targetSecret = "$(keyVaultSecretToRetrieve)"
$envVarName = $targetSecret.Replace("-", "_").Replace(".", "_").ToUpper()
$secretValue = [Environment]::GetEnvironmentVariable($envVarName, "Process")

# 设置为流水线变量（issecret=true标记为敏感值，避免日志输出）
Write-Host "##vso[task.setvariable variable=dynamicSecret;issecret=true]$secretValue"

后续任务可直接用$(dynamicSecret)引用该值。

内容的提问来源于stack exchange，提问作者Kyle N