Azure DevOps Pipeline跨代理池作业传递Key Vault密钥失败如何解决

原配置存在的问题 #

• 变量解析错误：PowerShell 中单引号包裹的字符串不会解析内部变量，原配置中##vso命令用单引号包裹，$ID会被当作字面量输出，而非实际的密钥值。
• 敏感属性缺失：密钥属于敏感数据，未显式标记isSecret=true时，跨作业传递过程中可能被Azure DevOps的脱敏机制拦截。
• 可选优化点：SecretsFilter: '*'会拉取Key Vault中所有密钥，权限范围过大，存在安全风险。

正确实现配置 #

- job: 'keyvault'
  pool: pool1
  steps:
  - task: AzureKeyVault@2
    inputs:
      azureSubscription: connection1
      KeyVaultName: keyvault1
      SecretsFilter: 'app--id' # 仅拉取需要的密钥，遵循最小权限原则

  - powershell: |
      $ID = '$(app--id)'
      # 改用双引号包裹命令，确保$ID变量被正确解析，同时标记为保密变量
      echo "##vso[task.setvariable variable=secret_var;isOutput=true;isSecret=true]$ID"
    name: secrets

- job: 'job2'
  pool: pool2
  dependsOn: keyvault
  variables:
    secret_var: $[ dependencies.keyvault.outputs['secrets.secret_var'] ]
  steps:
  - task: PowerShell@2
    inputs:
      targetType: 'inline'
      script: |
        # 保密变量无法直接echo明文，可通过长度验证是否拉取成功，业务场景直接使用即可
        Write-Host "密钥长度验证：$($(secret_var).Length)"

内容的提问来源于stack exchange，提问作者romanzdk