Azure DevOps Pipeline中Pulumi用Blob后端时KeyVault密钥适配问题

核心问题说明 #

你之前的PowerShell方案未生效的原因是：单任务内设置的进程级环境变量不会跨任务传递，后续Pulumi任务作为独立进程无法读取。以下是可直接落地的方案：

方案1：经典编辑器可用 #

1. 确保已正确关联存储了AZURE-STORAGE-KEY的KeyVault变量组，变量可在管道中正常读取
2. 在Pulumi任务前新增PowerShell任务，执行以下脚本：

# 使用Azure DevOps官方命令设置管道级保密变量
echo "##vso[task.setvariable variable=AZURE_STORAGE_KEY;issecret=true]$(AZURE-STORAGE-KEY)"

3. 打开Pulumi任务的配置项，找到「环境变量」配置栏，新增一条记录：
   • 变量名：AZURE_STORAGE_KEY
   • 变量值：$(AZURE_STORAGE_KEY)

方案2：YAML管道更简洁方案 #

无需额外添加转换任务，直接在Pulumi任务的环境变量字段做映射即可，示例配置如下：

# 顶部先引入关联KeyVault的变量组
variables:
  - group: 替换为你的KeyVault变量组名称

steps:
  # 其他前置任务省略
  - task: Pulumi@1
    inputs:
      azureSubscription: 替换为你的Azure服务连接名称
      command: 'up' # 替换为你需要执行的Pulumi命令
      stack: 替换为你的Pulumi栈名称
    # 直接完成环境变量映射
    env:
      AZURE_STORAGE_KEY: $(AZURE-STORAGE-KEY)

更安全的无密钥最优方案 #

无需在KeyVault存储存储账户密钥，也不需要配置任何密钥类环境变量：

1. 找到管道使用的Azure服务连接对应的服务主体，为其分配存储Pulumi状态的Blob容器的「存储Blob数据所有者」权限
2. 移除所有和AZURE_STORAGE_KEY相关的配置，Pulumi CLI会自动使用Azure AD身份验证访问状态存储，彻底避免密钥管理的风险。

内容的提问来源于stack exchange，提问作者MD TAREQ HASSAN