PowerShell中动态调用Azure DevOps管道变量的解决方案

Azure DevOps 管道的变量替换是任务执行前的静态预处理动作，只会替换脚本里硬编码写死的$(变量名)模板，不会感知脚本运行时动态拼接生成的字符串。你写的动态拼接逻辑是在PowerShell运行阶段才生成模板内容，此时管道的变量替换步骤早就执行完了，自然无法识别解析，哪怕用Invoke-Command包裹执行也没用。

不需要硬编码变量名、也不用动态拼接替换模板，直接利用管道运行时的环境变量注入规则就能实现批量导入，全程不需要放开Key Vault公网访问：

• 所有链接到管道的变量组变量（包括机密类型变量），在PowerShell任务启动时都会自动注入为进程级环境变量，直接在脚本里读取即可
• 环境变量命名适配规则：原变量名里的非字母数字字符（比如.、空格、横杠）会被自动替换为下划线，读取时自动兼容大小写匹配

具体实现代码如下：

# 配置参数
$variableGroupId = "目标变量组ID"
$keyVaultName = "目标Key Vault名称"

# 拉取变量组内的所有变量元数据（仅返回变量名、是否为机密等属性，不返回明文值）
$vgVariables = az pipelines variable-group variable list --group-id $variableGroupId | ConvertFrom-Json

# 遍历变量，直接从环境变量读取实际值写入Key Vault
foreach ($varProp in $vgVariables.PSObject.Properties) {
    $varName = $varProp.Name
    # 适配环境变量命名规则
    $envKey = $varName -replace '[^a-zA-Z0-9]', '_'
    $varValue = [Environment]::GetEnvironmentVariable($envKey)
    
    # 跳过空值变量
    if ([string]::IsNullOrWhiteSpace($varValue)) {
        Write-Warning "变量 $varName 值为空，跳过导入"
        continue
    }

    # 写入Key Vault
    $secret = ConvertTo-SecureString $varValue -AsPlainText -Force
    Set-AzKeyVaultSecret -VaultName $keyVaultName -Name $varName -SecretValue $secret
    Write-Host "已成功导入变量 $varName 到Key Vault"
}

异常兼容方案 #

如果遇到特殊命名变量匹配环境变量失败的场景，可以在管道最前面加一个前置步骤，把当前管道所有可用变量全量序列化成JSON存储，后续步骤直接读取JSON做键值匹配即可，不需要依赖命名规则适配：

1. 前置PowerShell步骤代码：

$allPipelineVars = Get-ChildItem Env: | Where-Object Name -NE "SYSTEM_ACCESSTOKEN" | ConvertTo-Json -Compress
Write-Host "##vso[task.setvariable variable=FullVarMap;isOutput=true]$allPipelineVars"

2. 后续导入步骤直接读取$env:FULLVARMAP | ConvertFrom-Json拿到全量变量键值对，匹配变量组内的变量名拿值即可，适配所有特殊命名场景。

注意：不要使用动态拼接脚本+Invoke-Expression/Invoke-Command的写法，既无法解决变量替换的时序问题，还存在脚本注入安全风险。

内容的提问来源于stack exchange，提问作者Jorge Rodrigues