PowerShell调用Get-AzKeyVaultSecret时SecretValueText返回空值怎么办

• Az.KeyVault模块版本变更：3.0.0及以上版本的Az.KeyVault模块已正式移除SecretValueText属性，该属性仅存在于2.x及更早版本中，这是返回空值的最常见原因。
• 机密状态异常：如果目标机密处于禁用、过期、尚未生效状态，且你的账号没有权限读取非活跃状态的机密，也会导致获取的机密值为空。
• 权限或参数错误：如果Vault名称、机密名称拼写有误，或当前Azure上下文对应账号没有该Key Vault的「机密读取」权限，部分情况下会返回无有效属性值的对象。

推荐方案：转换SecureString为明文 #

新版本下直接将返回的SecretValue属性（SecureString类型）转换为明文即可，两种兼容写法如下：

# 写法1：兼容所有PowerShell版本
$secret = Get-AzKeyVaultSecret -VaultName 'vault_name' -Name 'secret_name'
$plainTextSecret = [System.Net.NetworkCredential]::new("", $secret.SecretValue).Password

# 写法2：适用于PowerShell 7.0+ / 安装了最新安全模块的PowerShell 5.1
$secret = Get-AzKeyVaultSecret -VaultName 'vault_name' -Name 'secret_name'
$plainTextSecret = $secret.SecretValue | ConvertFrom-SecureString -AsPlainText

临时兼容方案（不推荐）：降级模块版本 #

如果必须使用SecretValueText属性，可以将Az.KeyVault模块降级到2.x版本：
Install-Module -Name Az.KeyVault -RequiredVersion 2.11.0 -Force

注意：旧版本模块存在已知安全风险和功能缺失，仅可用于临时测试，禁止在生产环境使用。

异常排查 #

如果上述方法仍返回空值，请按顺序排查：

• 确认Vault名称、机密名称拼写完全正确
• 确认当前Azure账号已被分配Key Vault的「机密读取」权限，或Access Policy中已为当前账号开启机密Get权限
• 确认目标机密处于启用、已生效且未过期的状态

内容的提问来源于stack exchange，提问作者Aadhar