如何将Azure Key Vault密钥映射为发布管道变量SQL_Login？

有几种可行的解决办法：

方法1：在变量组中添加映射变量 #

• 打开Azure DevOps的变量组，找到关联了目标Key Vault的组
• 点击「添加变量」，变量名填SQL_Login
• 变量值输入框里用表达式引用Key Vault密钥：$(SQLServerLogin)
• 如果原密钥是保密状态，记得把这个新变量也设为保密
• 保存变量组后，发布管道里引用这个组，之后就能直接用$(SQL_Login)作为环境变量传给应用

方法2：在部署任务中直接配置环境变量 #

如果不想改动变量组，可在具体部署任务（比如Azure App Service部署任务）里直接映射：

• 找到任务的「应用设置」或「环境变量」配置项
• 添加键值对：
  • 键：SQL_Login
  • 值：$(SQLServerLogin)
• 保存管道配置后，运行时会自动把Key Vault中的SQLServerLogin值注入到SQL_Login环境变量中

方法3：用PowerShell任务中转（复杂场景适用） #

如果需要在脚本环节处理，可添加一个PowerShell任务：

# 读取Key Vault密钥值
$SqlLoginValue = $(SQLServerLogin)
# 设置新的管道变量，后续任务可直接调用
Write-Host "##vso[task.setvariable variable=SQL_Login;issecret=true]$SqlLoginValue"

• 注意issecret=true要和原密钥的保密状态保持一致，防止敏感信息泄露

额外注意点 #

• 确认变量组的权限配置正确，发布管道使用的服务主体必须有读取Key Vault密钥的权限
• 引用变量时直接用$(变量名)格式，不要加多余的括号或符号
• YAML管道写法示例：

variables:
- group: YourKeyVaultVariableGroup
- name: SQL_Login
  value: $(SQLServerLogin)

steps:
- task: AzureWebApp@1
  inputs:
    azureSubscription: '你的Azure订阅'
    appName: '你的应用名称'
    appSettings: '-SQL_Login $(SQL_Login)'

内容的提问来源于stack exchange，提问作者Asterix