在Azure CI/CD的Maven任务中安全读取密钥保管库凭证方案咨询

刚好我之前处理过类似的场景，给你梳理几个靠谱的解决方案，一步步来就能搞定：

这是最直接的方式，核心思路是先从Key Vault拉取机密到Pipeline变量，再把变量传递给Maven测试任务。

1. 先搞定Key Vault的权限配置 #

• 先把你的用户凭证等敏感信息存入Azure Key Vault，比如创建test-user-username、test-user-password这类机密项
• 给Azure DevOps的服务主体（或者你Pipeline所在的项目）分配Key Vault的**Secret Reader（读取机密）**权限，不然Pipeline根本拿不到里面的内容

2. 在Pipeline中添加Key Vault拉取任务 #

在你的YAML Pipeline里，先加一个AzureKeyVault任务，把机密拉成Pipeline可用的变量：

- task: AzureKeyVault@2
  inputs:
    azureSubscription: '<你的Azure订阅服务连接名称>'
    KeyVaultName: '<你的Key Vault名称>'
    SecretsFilter: '*' # 也可以指定具体机密，比如test-user-username,test-user-password，更安全
    RunAsPreJob: false

执行完这个任务后，Key Vault里的机密就会变成Pipeline变量，比如$(test-user-username)、$(test-user-password)

3. 把变量传递给Maven测试 #

根据你的测试用例读取配置的方式，选下面一种就行：

• 方式一：直接通过Maven命令行传系统属性
  在Maven任务里加options参数，把变量转成Java系统属性：

  - task: Maven@3
    inputs:
      mavenPomFile: 'pom.xml'
      goals: 'test'
      options: '-Dtest.username=$(test-user-username) -Dtest.password=$(test-user-password)'
  

  然后在测试代码里用System.getProperty("test.username")就能拿到值了
• 方式二：动态替换测试配置文件
  如果你的测试是读src/test/resources/application.properties这类配置文件，可以先在文件里留占位符：

  test.username=${TEST_USERNAME}
  test.password=${TEST_PASSWORD}
  

  然后用Bash/PowerShell任务替换占位符：

  - task: Bash@3
    inputs:
      targetType: 'inline'
      script: |
        sed -i 's/${TEST_USERNAME}/$(test-user-username)/g' src/test/resources/application.properties
        sed -i 's/${TEST_PASSWORD}/$(test-user-password)/g' src/test/resources/application.properties
  

  再跑Maven测试任务就行
• 方式三：动态生成Maven settings.xml
  如果测试依赖Maven settings里的服务器配置，也可以用脚本生成包含机密的settings.xml，再让Maven用这个文件：

  - task: Maven@3
    inputs:
      mavenPomFile: 'pom.xml'
      goals: 'test'
      mavenSettingsFile: 'generated-settings.xml'
  

  生成settings.xml的脚本就看你具体需求来写，把Key Vault的机密替换到对应的server节点里

如果你的多个Pipeline都要用到这些机密，可以把Key Vault和Azure DevOps的变量组绑定，这样机密会自动同步到变量组，用起来更方便：

1. 去Azure DevOps项目的库 -> 变量组，新建一个变量组，勾选“链接到Azure Key Vault”，选你的Key Vault和需要的机密
2. 在Pipeline的YAML开头引用这个变量组：

   variables:
     - group: '<你的变量组名称>'
   

3. 之后就可以像用普通Pipeline变量一样，在Maven任务里用$(test-user-username)这些值，和方案一的第三步操作一样

如果你的测试用例是访问Azure自家服务（比如Azure SQL、Storage），完全不用存凭证，直接用Managed Identity（托管身份）认证：

1. 给Azure DevOps的Pipeline服务主体（或者启用了系统托管身份的Agent）分配对应Azure服务的访问权限
2. 在测试代码里用Azure SDK的默认认证类，比如Java的DefaultAzureCredential，它会自动从Pipeline环境里获取身份信息，不用手动传任何凭证
3. 这种方式彻底避免了存储机密，安全性拉满，适合测试Azure服务的场景

内容的提问来源于stack exchange，提问作者V_B