如何将私有SSH密钥格式化为Azure Function的环境变量？

优先方案：调整Azure环境变量格式（最小代码改动） #

你之前的核心问题是给环境变量值加了不必要的单引号，导致Paramiko解析时把单引号当成了密钥的一部分，引发格式错误。正确的配置方式：

• 在Azure Function的「应用设置」中，将SSH_PKEY的值设置为：

  -----BEGIN RSA PRIVATE KEY-----\n<key line 1>\n...\n<key line 25>\n-----END RSA PRIVATE KEY-----
  

  注意：不要加任何单引号或双引号，直接输入包含\n转义符的单行字符串。
• 原代码无需修改，os.getenv会直接获取到正确的字符串，io.StringIO会自动将\n解析为换行符，Paramiko就能正常加载密钥。

次选方案：使用安全文件存储密钥（不暴露内容） #

如果环境变量调整仍有问题，可以将密钥文件打包部署，避免明文暴露在环境变量中：

1. 在Function项目根目录创建.ssh文件夹，将私钥文件（如id_rsa）放入其中，同时在.gitignore中添加.ssh/防止代码库泄露密钥。
2. 修改代码中的密钥加载逻辑：

   import paramiko
   from pathlib import Path
   
   # 获取函数代码所在目录的相对路径
   pkey_path = Path(__file__).parent / ".ssh" / "id_rsa"
   key = paramiko.RSAKey.from_private_key_file(str(pkey_path))
   

3. 部署时确保.ssh目录和密钥文件被包含在部署包中（Zip部署或本地Git部署均可自动包含）。

最优安全方案：使用Azure Key Vault #

如果需要更高的安全性，推荐将密钥托管到Azure Key Vault：

1. 在Key Vault中创建机密，直接粘贴多行原始私钥（Key Vault原生支持多行机密值），无需转义处理。
2. 给Azure Function的系统分配托管标识授予Key Vault的「机密读取」权限。
3. 安装依赖包：

   pip install azure-keyvault-secrets azure-identity
   

4. 修改代码读取密钥：

   import paramiko
   import io
   from azure.identity import DefaultAzureCredential
   from azure.keyvault.secrets import SecretClient
   
   credential = DefaultAzureCredential()
   secret_client = SecretClient(vault_url="https://你的密钥保管库名称.vault.azure.net/", credential=credential)
   ssh_pkey = secret_client.get_secret("ssh-private-key").value
   
   key = paramiko.RSAKey.from_private_key(io.StringIO(ssh_pkey))
   

内容的提问来源于stack exchange，提问作者gigagondy