如何在VSTS中将Azure KeyVault密钥传入.NET Core 2.x单元测试

我之前也碰到过几乎一模一样的困境，折腾了好一阵子才理清正确的操作路径。结合Azure DevOps（原VSTS）和.NET Core测试的最佳实践，给你几个针对性的解决方案：

1. 用dotnet test任务正确传递TestRunParameters #

你之前尝试的命令行格式不对，.NET Core的dotnet test传递TestRunParameters的正确语法是通过--后跟TestRunParameters.ParameterName=Value的格式，而不是你用的-webAppUserName或者webAppUserName=foo。

具体操作步骤：

• 在Azure DevOps管道中添加Dotnet Test任务
• 配置任务的Run settings file为你的vsts.runsettings
• 在Arguments字段中填入：

  -- TestRunParameters.webAppUserName="$(webAppUserName)" TestRunParameters.webAppPassword="$(webAppPassword)"
  

• 确保$(webAppUserName)和$(webAppPassword)是从链接到Azure Key Vault的变量组中获取的（变量组需要先关联KeyVault，并且管道已引用该变量组）

2. 修复VsTest任务的参数覆盖问题 #

如果你坚持用VsTest任务，注意Override test run parameters的格式要求每个参数用-ParameterName "Value"的形式，并且要确保变量的引用正确：

• 在VsTest任务的Override test run parameters中填入：

  -webAppUserName "$(webAppUserName)" -webAppPassword "$(webAppPassword)"
  

• 关键前提：你的管道必须已经引用了关联KeyVault的变量组，并且构建服务的服务主体拥有KeyVault的Get密钥权限（这个是很多人忽略的点！）

3. 解决AddAzureKeyVault()在VSTS中挂起的问题 #

本地运行正常但VSTS中挂起，90%是权限问题：

1. 给构建服务主体添加KeyVault权限：
   • 打开Azure Portal -> 你的Key Vault -> 访问策略 -> 添加访问策略
   • 密钥权限勾选获取
   • 选择主体：找到你Azure DevOps项目对应的服务主体（可以在Azure DevOps的项目设置 -> 服务连接里找到对应的服务主体ID）
   • 保存策略
2. 在代码中使用非交互式认证：
   本地可能用的是你的个人账号认证，但VSTS中需要用服务主体认证，修改你的配置代码：

   var config = new ConfigurationBuilder()
       .AddJsonFile("appsettings.json", true, true)
       .AddAzureKeyVault(
           "https://your-keyvault.vault.azure.net/",
           Environment.GetEnvironmentVariable("AZURE_CLIENT_ID"),
           Environment.GetEnvironmentVariable("AZURE_CLIENT_SECRET")
       )
       .Build();
   

   然后在Azure DevOps任务的环境变量中添加AZURE_CLIENT_ID和AZURE_CLIENT_SECRET（从服务连接中获取，或者用托管标识更安全）

4. 环境变量传递的正确姿势 #

如果你想用环境变量，注意Azure DevOps的保密变量不会自动转为环境变量，需要手动映射：

• 在Dotnet Test/VsTest任务的环境变量区域，添加键值对：
  • 键：webAppUserName，值：$(webAppUserName)
  • 键：webAppPassword，值：$(webAppPassword)
• 然后在测试代码中用Environment.GetEnvironmentVariable("webAppUserName")就能拿到值了

关于自定义IKeyVaultSecretManager的兼容 #

你提到的用--替换:的场景，只要解决了KeyVault的权限问题，AddAzureKeyVault()配合自定义SecretManager在VSTS中就能正常工作，和本地逻辑完全一致，不需要额外修改。

关键注意事项 #

• 确保KeyVault的访问策略中，构建服务主体（或托管标识）拥有Get密钥的权限，这是最容易遗漏的环节
• 对于.NET Core 2.0测试，优先用dotnet test任务而非VsTest任务，兼容性更好
• 测试代码中读取参数的逻辑要正确：
  • MSTest：需要在测试类中声明public TestContext TestContext { get; set; }，然后用TestContext.Parameters["webAppUserName"]获取
  • xUnit：通过Microsoft.Extensions.Configuration.RunSettings包读取，代码示例：

    var config = new ConfigurationBuilder()
        .AddRunSettings("vsts.runsettings")
        .Build();
    var userName = config["TestRunParameters:webAppUserName"];
    

内容的提问来源于stack exchange，提问作者Adriaan de Beer