Azure Pipelines中如何将KeyVault密钥传递至模板或脚本且保留类型

核心说明 #

Azure Key Vault中的密钥本质是加密存储的字符串，通过AzureKeyVault@2任务获取后，在管道中以字符串变量形式存在——不存在“不改变类型传递”的说法，你需要在PowerShell脚本中将其转换为SecureString，这是正常流程。你看到的“密钥变成字符串”，大概率是Azure DevOps自动对敏感变量的屏蔽（输出显示为***），而非变量类型问题。

修正后的配置方案 #

1. 主管道YAML（保持原有逻辑，补充缺失的参数） #

steps:
    - task: AzureKeyVault@2
      displayName: Get secret from AzureVault
      inputs:
          azureSubscription: 'subName'
          KeyVaultName: 'vaultName'
          SecretsFilter: 'mySecret'
          RunAsPreJob: true

    - template: \pipelines\templates\vm_setup.yml
      parameters:
          os_pass: $(mySecret)
          workingDirectory: '你的工作目录路径' # 补充模板中依赖的workingDirectory参数

2. 修正后的vm_setup.yml模板 #

问题出在参数引用方式：${{ parameters.os_pass }}是编译时表达式，会在管道初始化阶段解析，而$(mySecret)是运行时变量，需用$()语法引用参数；同时传递PowerShell参数时建议加引号，避免密钥含空格等特殊字符时出错：

parameters:
    - name: os_pass
      type: string
    - name: workingDirectory
      type: string

steps:
- task: PowerShell@2
  displayName: Trial
  inputs:
      targetType: 'filepath'
      filePath: '${{ parameters.workingDirectory }}\myScript.ps1'
      arguments: >-
          -OS_Pass "$(os_pass)" # 用运行时变量引用参数，双引号处理特殊字符

3. PowerShell脚本（myScript.ps1）保持不变 #

你的脚本已正确完成字符串到SecureString的转换，无需修改：

param (
    [Parameter(Mandatory = $true)]
    [string]$OS_Pass
)

$password = ConvertTo-SecureString -String $OS_Pass -AsPlainText -Force
$cred = New-Object -TypeName System.Management.Automation.PSCredential -ArgumentList 'admin', $password

# 注意：Azure DevOps会自动屏蔽敏感变量，Write-Host $OS_Pass会显示为***，这是正常的安全机制
Write-Host '---------'
# 可通过SecureString属性验证转换结果，不要直接输出原始密钥
Write-Host "SecureString长度: $($password.Length)"

关键注意点 #

• Azure DevOps会自动标记从Key Vault获取的变量为敏感值，所有输出中的敏感内容都会被替换为***，这是正常的安全保护机制，不是变量类型错误。
• 传递敏感参数时，使用$()运行时引用，而非${{ }}编译时引用，确保变量在运行阶段正确解析。
• 脚本中禁止直接输出原始密钥，如需验证转换结果，可通过SecureString的属性（如长度）确认。

内容的提问来源于stack exchange，提问作者noobie