如何将Azure Key Vault中新创建的密钥添加至Azure DevOps变量组

嘿，针对你的问题，我整理了两个实用的方案，都是可以在Pipeline里自动化执行的，而且和你现有的PowerShell任务适配性很好～

一、推荐：用PowerShell实现（和现有Pipeline无缝衔接） #

既然你已经在使用PowerShell任务创建Key Vault密钥，直接用PowerShell同步变量组是最顺手的。这里分两种方式，按需选择：

方式1：PowerShell + Azure DevOps REST API #

这个方法需要先获取现有变量组，添加新的Key Vault引用变量，再更新变量组：

1. 先确保你的Pipeline运行身份拥有足够权限：

   • Azure Key Vault：需要「密钥管理服务-获取」权限（用来验证密钥存在）
   • Azure DevOps：对目标变量组的「编辑」权限（在项目设置→库→变量组→权限中配置）

2. 示例脚本：

# 配置你的参数
$kvName = "你的Key Vault名称"
$newSecretName = "刚创建的密钥名称"
$variableGroupId = "目标变量组ID" # 从变量组页面URL获取，比如URL里的variableGroupId=123，ID就是123

# 获取Key Vault的资源ID
$kvResourceId = (Get-AzKeyVault -VaultName $kvName).ResourceId

# 构造Azure DevOps API的认证头和基础地址
$orgUrl = "$(System.CollectionUri)"
$projectName = "$(System.TeamProject)"
$authHeader = @{Authorization = "Bearer $(System.AccessToken)"}
$apiVersion = "7.1-preview.2"

# 获取现有变量组信息
$variableGroup = Invoke-RestMethod -Uri "$orgUrl/$projectName/_apis/distributedtask/variablegroups/$variableGroupId?api-version=$apiVersion" -Headers $authHeader -Method Get

# 添加新的Key Vault引用变量到变量组
$variableGroup.variables[$newSecretName] = @{
  type = "azureKeyVault"
  isSecret = $true
  properties = @{
    keyVault = @{
      id = $kvResourceId
    }
    secretName = $newSecretName
  }
}

# 更新变量组
Invoke-RestMethod -Uri "$orgUrl/$projectName/_apis/distributedtask/variablegroups/$variableGroupId?api-version=$apiVersion" -Headers $authHeader -Method Put -Body ($variableGroup | ConvertTo-Json -Depth 10) -ContentType "application/json"

方式2：PowerShell + Azure DevOps CLI（更简洁） #

Azure DevOps CLI提供了现成的命令来添加变量组变量，不需要手动处理JSON结构：

1. 微软托管的Agent默认已经安装Azure DevOps CLI，自托管Agent需要提前安装
2. 示例脚本：

# 配置参数
$kvName = "你的Key Vault名称"
$newSecretName = "刚创建的密钥名称"
$variableGroupId = "目标变量组ID"

# 获取Key Vault资源ID
$kvResourceId = (Get-AzKeyVault -VaultName $kvName).ResourceId

# 用System.AccessToken自动登录Azure DevOps
az devops login --org $(System.CollectionUri) --token $(System.AccessToken)

# 添加新的Key Vault引用变量到变量组
az devops variable-group variable add `
  --group-id $variableGroupId `
  --name $newSecretName `
  --secret true `
  --variable-type azureKeyVault `
  --org $(System.CollectionUri) `
  --project $(System.TeamProject) `
  --properties keyVaultId=$kvResourceId secretName=$newSecretName

二、关于REST API的疑问 #

你提到的REST API确实是底层实现，但你不需要手动用Postman之类的工具调用——上面的PowerShell方法本质上就是在调用这个API，只是用代码封装了HTTP请求，更适合自动化场景。如果你的Pipeline偏好Bash，也可以用curl调用API，但PowerShell显然更贴合你现有的工作流。

关键提醒 #

因为你的变量组已经和Key Vault关联，所以新添加的变量必须是Key Vault引用类型，而不是普通变量。这样后续Key Vault里的密钥更新时，变量组会自动同步最新值，而不是存储固定的密钥值。

备注：内容来源于stack exchange，提问作者Sergio