在VSTS流水线中添加SSL自动化任务及传递PFX文件的推荐方式

我来给你梳理几个在Azure DevOps Pipeline（原VSTS）里把PFX文件传给PowerShell脚本的靠谱方案，结合你的需求分四类说明：

如果要把PFX和代码一起管理，一定要做好敏感信息保护：

• 先给PFX文件设置强密码，然后绝对不要明文提交到代码仓库！可以用Git加密工具（比如git-crypt）对文件加密后再提交，或者把PFX内容编码成Base64存在秘密变量里（前者更直观）。
• 在流水线中，用Copy Files任务将仓库中的PFX文件复制到脚本可访问的目录，比如$(Build.ArtifactStagingDirectory)。
• 在PowerShell任务中，直接传递文件路径给脚本：

  .\Configure-SSL.ps1 -PfxPath "$(Build.ArtifactStagingDirectory)\mycert.pfx" -PfxPassword "$env:PFX_PASSWORD"
  

• 重点：PFX密码要存在Azure DevOps的变量组中，标记为「秘密变量」，这样流水线运行时不会明文显示。

如果PFX已经预先部署到目标服务器/环境，直接读取路径即可：

• 确认目标环境的PFX文件路径是固定的，或者可以通过环境变量、配置中心（比如Azure App Configuration）获取。
• 确保流水线的部署服务账号（比如Agent运行账号）拥有该PFX文件的读取权限，否则会出现访问拒绝错误。
• 在PowerShell任务中直接使用该路径调用脚本：

  .\Configure-SSL.ps1 -PfxPath "D:\Certificates\prod-cert.pfx" -PfxPassword "$env:PFX_PASSWORD"
  

• 同样，密码用秘密变量传递，避免明文暴露。

这是管理敏感证书文件的官方推荐方式，安全性最高：

1. 在Azure DevOps项目的「管道 > 库 > 安全文件」中上传你的PFX文件，设置好访问权限（仅允许需要的流水线访问）。
2. 在流水线中添加Download Secure File任务，选择上传的PFX文件，设置「目标文件夹」为脚本可访问的路径（比如$(Agent.TempDirectory)）。
3. 该任务会自动下载文件，并且在任务执行完成后自动删除临时文件，避免泄露风险。
4. 在PowerShell任务中，通过任务生成的变量获取文件路径（比如你给安全文件取的引用名为MySslCert，变量就是$(DownloadSecureFile.MySslCert)），然后传给脚本：

   .\Configure-SSL.ps1 -PfxPath "$(DownloadSecureFile.MySslCert)" -PfxPassword "$env:PFX_PASSWORD"
   

如果你的PFX存储在Azure Key Vault中（作为证书或机密），可以直接从Vault拉取：

• 在流水线中添加Azure Key Vault任务，配置好Vault的服务连接，选择要获取的证书或机密。
• 如果是证书，任务会自动将PFX下载到指定路径；如果是存储为Base64编码的机密，可通过PowerShell写入文件：

  $pfxContent = [Convert]::FromBase64String("$env:KEY_VAULT_PFX_SECRET")
  $pfxPath = "$(Agent.TempDirectory)\cloud-cert.pfx"
  [System.IO.File]::WriteAllBytes($pfxPath, $pfxContent)
  

• 最后将生成的路径传给你的SSL配置脚本即可。

内容的提问来源于stack exchange，提问作者armache