Azure DevOps Pipelines如何参数化跨多Job设置KeyVault机密变量

核心问题本质：直接将编译时注入的参数值作为运行时变量名取值时，没有使用shell的动态变量取值语法，且之前的输出变量配置仅输出了机密名字符串，没有输出机密本身的值。

解决方法 #

1. 核心原理 #

AzureKeyVault@1 任务拉取到的机密会自动注入为当前任务的运行时环境变量，变量名与机密名完全一致。要通过动态传入的参数名取对应机密的值，需要使用Bash的间接变量扩展语法。

2. 修改后的步骤配置 #

parameters:
  - name: az_subscription
    type: string
  - name: az_keyvault
    type: string
  - name: secrets_filter
    type: string
  - name: run_pre_job_bool
    type: boolean
    default: false

steps:
- task: AzureKeyVault@1
  inputs:
    azureSubscription: ${{ parameters.az_subscription }}
    keyVaultName: ${{ parameters.az_keyvault }}
    secretsFilter: ${{ parameters.secrets_filter }}
    runAsPreJob:  ${{ parameters.run_pre_job_bool }}
  displayName: "Retrieve and set Service Principle (SP) Key"
- bash: |
    # 拿到参数传入的机密名，若机密名含中划线，需先替换为下划线（ADO注入环境变量时会自动转中划线为下划线）
    SECRET_NAME=$(echo "${{ parameters.secrets_filter }}" | tr '-' '_')
    # 用Bash间接扩展取对应机密的值
    SECRET_VALUE="${!SECRET_NAME}"
    
    # 测试输出，会自动被ADO掩蔽，和硬编码效果完全一致
    echo "取到的机密值（自动掩蔽）：$SECRET_VALUE"
    
    # 设置输出变量，输出的是机密实际值
    echo "##vso[task.setvariable variable=MY_VAR;isOutput=true]$SECRET_VALUE"
  name: use_keyvault
  displayName: "Set MY_VAR variable"

3. 跨Job调用输出变量示例 #

如果你要在后续Job中使用这个输出的机密，按如下方式引用即可：

jobs:
- job: GetKeyVaultSecret
  steps:
  # 调用你封装的KeyVault模板，传入参数
  - template: path/to/your/keyvault-template.yml
    parameters:
      az_subscription: "你的订阅服务连接名"
      az_keyvault: "你的KeyVault名称"
      secrets_filter: "你要读取的机密名" # 这里传入任意要读的机密名即可，无需硬编码
- job: UseSecret
  dependsOn: GetKeyVaultSecret
  variables:
    # 引用前一个Job输出的机密变量
    MY_SECRET: $[ dependencies.GetKeyVaultSecret.outputs['use_keyvault.MY_VAR'] ]
  steps:
  - bash: |
      echo "拿到的跨Job机密：$MY_SECRET" # 输出会自动掩蔽

内容的提问来源于stack exchange，提问作者Erik