使用Azure CLI任务获取Key Vault密钥存入变量失败，如何正确实现

原有写法错误点 #

• az keyvault secret show 命令默认返回包含秘密值、版本、有效期在内的完整JSON结构，直接赋值无法获取纯文本密码内容。
• 脚本内定义的$secret是PowerShell运行时的局部变量，未同步到Azure DevOps管道全局变量池，因此后续任务使用$(secret)引用时无法识别，只会输出原文本。

正确实现配置 #

你需要先提取命令返回的纯文本秘密值，再通过Azure DevOps内置的变量设置命令将值同步到管道变量，完整配置如下：

- task: AzureCLI@2
  displayName: Retrieve and store key vault secret
  inputs:
    azureSubscription: 'azureSubscription'
    scriptType: pscore
    scriptLocation: inlineScript
    inlineScript: |
      # 提取纯文本秘密值
      $secret = az keyvault secret show --name "passwordSecret" --vault-name "passwordKeyVault" --query "value" -o tsv
      # 同步为管道全局变量，标记为敏感值避免日志泄露
      echo "##vso[task.setvariable variable=secret;issecret=true]$secret"

变量引用说明 #

• 如果你需要在当前AzureCLI任务的后续脚本行中使用该值，直接调用PowerShell变量$secret即可。
• 如果你需要在该任务之后的其他任务中使用该值，使用管道变量语法$(secret)引用即可。
• 配置中issecret=true参数会将该变量标记为敏感值，后续管道日志输出时会自动掩码为***，避免密码泄露。

内容的提问来源于stack exchange，提问作者Erlich Lleo