Azure DevOps YAML管道如何获取值为变量名的变量值

问题原因 #

Azure DevOps 管道的运行时变量解析默认仅执行单轮匹配，不会递归展开嵌套变量。你使用的$($(mySecretName))是PowerShell的嵌套变量语法，无法在任务输入的原生解析阶段生效：解析器只会把内层$(mySecretName)替换为secret-name，不会继续解析外层的$(secret-name)结构，因此拿不到实际的机密值。

可行方案 #

方案1：脚本中转解析（通用推荐，兼容所有运行时场景） #

在KeyVault读取任务和ARM部署任务之间插入一个短脚本任务，动态读取对应名称的机密值，再赋值给一个固定名称的敏感变量，后续任务直接调用这个固定变量即可。
完整配置示例：

- task: AzureKeyVault@2
  displayName: 'Read secret'
  inputs:
     azureSubscription: $(mySubscription)
     KeyVaultName: $(myKeyVault)
     SecretsFilter: $(mySecretName)
     RunAsPreJob: false

# 新增动态解析步骤
- task: PowerShell@2
  displayName: 'Resolve secret value'
  inputs:
    targetType: 'inline'
    script: |
      $secretName = '$(mySecretName)'
      $secretValue = [Environment]::GetEnvironmentVariable($secretName)
      # 标记为敏感变量，避免日志泄露
      Write-Host "##vso[task.setvariable variable=targetSecret;issecret=true]$secretValue"

- task: AzureResourceGroupDeployment@3
  displayName: 'Use secret value'
  inputs:
     resourceGroupName: $(myResourceGroup)
     location: $(myLocation)
     azureResourceManagerConnection: $(mySubscription)
     templateLocation: 'Linked artifact'
     csmFile: '$(Pipeline.Workspace)/cd-template.json'
     overrideParameters: >
        -secretValue "$(targetSecret)"
     deploymentMode: 'Incremental'

配置说明：脚本中设置变量时添加了issecret=true标记，管道会将该变量识别为敏感值，和KeyVault拉取的原生机密一样，不会在运行日志中明文输出，不存在机密泄露风险。

方案2：模板索引语法（仅适用于编译期可确定变量名的场景） #

如果mySecretName的值在管道编译阶段就已经确定（不是脚本运行时动态生成的赋值），可以直接使用模板表达式的索引语法取值，不需要新增额外步骤：

overrideParameters: >
  -secretValue "${{ variables[variables.mySecretName] }}"

注意：该写法存在场景限制，如果mySecretName是运行时才赋值的动态值，编译阶段无法获取到具体变量名，该写法会失效。

内容的提问来源于stack exchange，提问作者DavidGSola