PowerShell配置Azure SQL连接串存入Key Vault时FQDN取值异常解决

你存入Key Vault的密钥值出现Server=tcp:@{FullyQualifiedDomainName}=servername.azure.net这类异常内容，核心原因是$sqlServerfqdn变量没有存储纯格式的FQDN字符串，而是把Azure PowerShell查询返回的整个SQL Server资源对象直接赋值给了这个变量。PowerShell在双引号字符串里展开变量时，遇到非字符串类型的对象，会自动把对象的属性拼成字典格式的文本输出，直接破坏了连接串的结构。

1. 修正SQL Server FQDN的变量取值逻辑 #

不要直接把查询返回的资源对象赋值给$sqlServerfqdn，要明确提取对象上的FullyQualifiedDomainName属性值：

• 错误写法（会触发你遇到的问题）：

  # 直接把整个资源对象赋值给变量，没有提取具体属性
  $sqlServerfqdn = Get-AzSqlServer -ResourceGroupName "你的SQL所在资源组名" -ServerName "你的SQL服务器名"
  

• 正确写法：

  # 给查询语句加括号，直接取对象的FQDN属性，拿到纯字符串值
  $sqlServerfqdn = (Get-AzSqlServer -ResourceGroupName "你的SQL所在资源组名" -ServerName "你的SQL服务器名").FullyQualifiedDomainName
  

• 取值完成后可以先单独验证：执行Write-Host $sqlServerfqdn，如果输出是类似你的服务器名.database.windows.net的纯文本，没有@{}包裹的内容，就说明取值正常了。

2. 检查连接串用到的其他关联变量 #

除了$sqlServerfqdn，连接串里拼接的$database、$adminlogin等变量也要做同样的检查：

• 不要直接把查询返回的数据库、登录名对象塞进变量，要明确取对应的属性值，比如获取数据库名时要取.DatabaseName属性
• 每个变量单独用Write-Host输出验证，确保都是纯字符串格式，避免同类的对象包装问题

3. 正常生成连接串并写入Key Vault #

所有变量验证通过后，你原来写的转换安全字符串的代码不需要修改，可以直接正常运行：

$dbsecretvalue = ConvertTo-SecureString -String "Server=tcp:$sqlServerfqdn,1433;Initial Catalog=$database;Persist Security Info=False;User ID=$adminlogin;Password=$password;MultipleActiveResultSets=False;Encrypt=True;TrustServerCertificate=False;Connection Timeout=30" -AsPlainText -Force

因为你的SQL和Key Vault分属不同资源组，只要当前操作账号对Key Vault有密钥写入权限、对SQL所在资源组有资源读取权限，跨资源组的密钥写入不需要额外加特殊参数，直接正常调用Set-AzKeyVaultSecret即可。

新手通用避坑提示：PowerShell中所有Get-开头的Azure命令返回的基本都是结构化资源对象，不是纯文本值。只要看到输出内容带@{属性名=属性值}的格式，基本都是没有指定要提取的对象属性，直接把整个对象参与了字符串拼接。

内容的提问来源于stack exchange，提问作者jrd1989