Azure DevOps Pipeline中Python脚本无法使用库机密值如何解决？

问题场景 #

你通过YAML引入包含机密的变量组，在Python脚本中尝试通过环境变量获取机密值并传入msrest的BasicAuthentication方法，但变量设为机密时连接失败，改为明文则恢复正常；尝试打印机密变量时会触发权限拦截错误。

原因分析 #

• Azure DevOps的机密变量默认不会自动暴露为脚本的环境变量，即便已引入变量组，也需要显式完成变量到环境变量的映射，否则脚本无法获取正确的机密值，导致认证失败。
• 打印机密变量时出现权限错误是ADO的安全保护机制，系统会自动屏蔽机密内容的输出，属于正常现象，不影响变量的实际使用。

解决方案 #

在Pipeline的YAML中，显式将机密变量映射为脚本可访问的环境变量，以下两种方式均可：

方式1：在任务的环境变量块中映射（单任务使用） #

jobs:
- job: RunPythonScript
  variables:
    - group: GROUP_WITH_SECRET  # 引入目标变量组
  steps:
  - task: PythonScript@0
    inputs:
      scriptSource: 'inline'
      script: |
        import os
        from msrest.authentication import BasicAuthentication
        
        # 从映射后的环境变量获取机密值
        my_pat = os.environ["MY_SECRET"]
        auth = BasicAuthentication("", my_pat)
        # 执行后续业务逻辑
    env:
      # 将机密变量$(my_secret)映射为环境变量MY_SECRET
      MY_SECRET: $(my_secret)

方式2：在Pipeline变量中定义映射（多任务共享） #

variables:
  - group: GROUP_WITH_SECRET
  # 定义映射变量并标记为机密
  - name: MY_SECRET
    value: $(my_secret)
    isSecret: true

jobs:
- job: RunPythonScript
  steps:
  - task: PythonScript@0
    inputs:
      scriptSource: 'inline'
      script: |
        import os
        from msrest.authentication import BasicAuthentication
        
        my_pat = os.environ["MY_SECRET"]
        auth = BasicAuthentication("", my_pat)
        # 执行后续业务逻辑

注意事项 #

• 脚本中获取环境变量时需使用大写名称，ADO会自动将YAML中定义的环境变量转为大写格式。
• 无需尝试打印机密变量，ADO的安全拦截机制会阻止此类操作，但不影响变量的正常调用。
• 确认Pipeline所在的服务主体具备访问目标变量组的权限，避免因权限不足导致变量无法读取。

内容的提问来源于stack exchange，提问作者Matthew Blackwind