如何在Azure DevOps管道中通过Azure CLI获取Cosmos DB主密钥与连接字符串

问题1解决方案：获取明文连接字符串的正确配置 #

你在日志中看到的***是Azure DevOps内置的敏感值自动掩码机制，仅作用于日志输出，你通过az命令获取到的连接字符串本身就是明文，不会被掩码影响后续任务传值。你需要做的是正确将返回值设置为管道变量，示例流程如下：

• 在Azure CLI任务中执行如下代码：

# 拉取Cosmos DB连接字符串
cosmos_conn_str=$(az cosmosdb keys list \
   --name <替换为你的Cosmos DB账户名> \
   --resource-group <替换为资源组名> \
   --subscription <替换为订阅名/订阅ID> \
   --type connection-strings \
   --query 'connectionStrings[0].connectionString' \
   --output tsv)

# 将连接字符串设置为管道秘密变量，issecret=true参数会自动触发DevOps对该值的日志掩码
echo "##vso[task.setvariable variable=CosmosConnectionString;issecret=true]$cosmos_conn_str"

• 后续Data Factory ARM部署任务直接引用变量$(CosmosConnectionString)作为参数即可，无需额外处理。

注意：不要通过echo等命令打印该变量的完整值做验证，所有打印到日志的敏感值都会被自动替换为***，这属于正常现象，不影响实际传值。如果需要验证命令执行有效性，可以判断变量是否为空，或者仅打印AccountEndpoint部分确认账户匹配。

问题2：RBAC角色配置说明 #

如果你能正常返回带AccountEndpoint的连接字符串结构，仅密钥部分被掩码，说明当前管道所用的服务身份权限是足够的，不需要额外调整。

• 读取Cosmos DB连接字符串/密钥所需的最低RBAC权限为内置角色Cosmos DB 账户读者角色，该角色包含Microsoft.DocumentDB/databaseAccounts/listKeys/action操作权限，满足密钥读取需求。
• 如果权限不足，执行az命令时会直接返回403权限错误，不会返回任何连接字符串结构内容。

内容的提问来源于stack exchange，提问作者Subhash Ghai