Azure DevOps中如何保障流水线变量安全 防止认证凭证泄露

下面是4种可落地的无明文风险实现方案，按安全性从高到低排序：

1. 托管身份认证（仅适用于Azure部署的流水线代理） #

• 如果你的流水线代理运行在Azure资源（Azure VM、Azure DevOps托管代理、Azure容器实例等）上，优先开启系统/用户分配托管身份，无需在流水线存储任何凭证
• 认证代码仅需一行：
  Connect-AzAccount -Identity
• 优势：完全消除凭证存储环节，权限可通过Azure IAM做精细化最小权限管控，不存在任何泄露风险

2. OIDC联合身份认证 #

• 目前主流CI/CD平台（Azure DevOps、GitHub Actions、GitLab CI、Jenkins）均支持和Azure AD做OIDC联合认证，无需存储任何长期凭证
• 流水线运行时平台会自动签发短有效期OIDC令牌，直接用于认证，令牌过期后自动失效
• 认证代码示例：

Connect-AzAccount -ServicePrincipal -ApplicationId $env:AZURE_CLIENT_ID `
-Tenant $env:AZURE_TENANT_ID -FederatedToken $env:CI_OIDC_TOKEN

• 优势：无需存储密码、证书等敏感信息，即使令牌意外泄露也无法长期使用，仅需要在流水线配置非敏感的客户端ID、租户ID变量

3. 服务主体证书认证 #

• 为Azure服务主体配置证书认证，替代客户端密码，证书实体提前部署在流水线代理的本地证书存储中
• 流水线仅需要配置非敏感的证书指纹、客户端ID、租户ID变量，无需存储任何凭证类信息
• 认证代码示例：
  Connect-AzAccount -ServicePrincipal -ApplicationId $env:AZURE_CLIENT_ID -Tenant $env:AZURE_TENANT_ID -CertificateThumbprint $env:AZURE_CERT_THUMBPRINT
• 优势：即使变量配置被他人查看，没有证书实体也无法完成认证，风险远低于密码存储

4. 加密敏感变量存储 #

• 所有主流CI/CD平台均支持敏感变量加密功能，配置变量时勾选「保密/敏感/加密」选项，配置完成后变量值无法在界面或API明文回读，仅流水线运行时可被调用，且日志会自动脱敏
• 调用时转换为安全字符串避免意外打印明文：

$secureSecret = ConvertTo-SecureString $env:AZURE_CLIENT_SECRET -AsPlainText -Force
$spCred = New-Object System.Management.Automation.PSCredential($env:AZURE_CLIENT_ID, $secureSecret)
Connect-AzAccount -ServicePrincipal -Credential $spCred -Tenant $env:AZURE_TENANT_ID

• 注意：脚本中不要使用打印类命令输出上述变量值，避免泄露

内容的提问来源于stack exchange，提问作者D U