Question

我在使用AzureKeyVault任务进行变量表达时遇到困难。 azureSubscription和KeyVaultName值表达式都不会解析为在变量组中具有变量。如果我在yaml中以任何方式手动定义这些变量，它将起作用。要么在azure-pipelines.yml中，要么在阶段开始时导入的模板variables_test.yml中。

我在文档中读到，应该像$（var）这样使用变量组中的变量，但随后抛出错误，表明不存在像'$（var）'这样的订阅。

模板： azure-pipelines.yml：

- stage: Test

  variables:
  - template: variables_Test.yml  # Template reference
  - group: testVariableGroup

  dependsOn: []

  jobs:

  - job: Test
    
    steps:

    - task: AzureKeyVault@1
      inputs:
        azureSubscription: ${{ variables.spn_kv_app }}
        KeyVaultName: ${{ variables.keyVaultName }}
        SecretsFilter: '*'

在该阶段的日志中，我可以看到正在变量组中设置的变量：

Job preparation parameters
Variables:
  keyVaultName: $[ variablegroups.testVariableGroup.keyVaultName ]
  resourceGroupName: $[ variablegroups.testVariableGroup.resourceGroupName ]
  spn_cd_app: $[ variablegroups.testVariableGroup.spn_cd_app ]
  spn_kv_app: $[ variablegroups.testVariableGroup.spn_kv_app ]
  storageAccountName: $[ variablegroups.testVariableGroup.storageAccountName ]

重要的是要注意，这些变量未在变量组中设置为机密。

PS。对于任何有兴趣的人。我创建了票证：

https://github.com/MicrosoftDocs/vsts-docs/issues/7586

https://developercommunity.visualstudio.com/content/problem/949342/azuresubscription-serviceconnection.html

如果将解决任何问题，我将发布答案。

Answer 1

我不认为这是一个错误，而是一个产品限制。有两种字段不能分配“外部”（也称为 var 组）变量：

指向服务连接的那些，用于许多不同类型的任务，例如 ARM 模板部署。（根据任务可能有许多不同的名称，例如“azureSubscription”、“serviceConnection”等）
环境名称，在部署作业中是必需的

这实际上是记录在案的，但在一个非常隐蔽的地方（应该在主变量页面上！）。请参阅最后一段 here。

您可能会说“但是我在 XYZ 情况下使用了它并且它起作用了！” 我会同意您的看法，但这是非常不可预测的，取决于任务的类型。根据经验，我从不使用可变组中的服务连接和环境。

但是存在一种解决方法！您可以在主管道中使用带有静态值的变量（以后可以根据需要调用任意数量的模板），甚至使用“变量文件”，而不是使用 vargroups " 就像变量组一样工作，这是一个包含这些变量及其值的外部 yaml 模板。因此，通过这样做，您可以将这些参数保存在一个地方，而无需在解决方案中的每个管道和模板中查找它们。

这是最基本的例子：

main_pipeline.yml：

variables:
  - service_connection: my-service-connection-name
  - environment: Production

jobs:
  - deployment: JOB_DEPLOY
    environment: ${{ variables.environment }}
    strategy:
      runOnce:
        deploy:
          steps:
            - task: AzurePowerShell@5
              inputs:
                azureSubscription: '${{ variables.service_connection }}'
                ScriptType: 'FilePath'
                ScriptPath: '$(Build.Repository.LocalPath)/my_script.ps1'

您也可以指向外部变量模板：

main_pipeline.yml：

variables:
  - template: project-settings.yml@self

jobs:
  - deployment: JOB_DEPLOY
    environment: ${{ variables.environment }}
    strategy:
      runOnce:
        deploy:
          steps:
            - task: AzurePowerShell@5
              inputs:
                azureSubscription: '${{ variables.service_connection }}'
                ScriptType: 'FilePath'
                ScriptPath: '$(Build.Repository.LocalPath)/my_script.ps1'

project-settings.yml：

variables:
  - name: service_connection
    value: my-service-connection-name
  - name: environment
    value: Production

两个示例的工作方式相同。重要的是在文件中包含静态值，并使用所谓的“模板表达式”语法（${{ }}）。这样做的原因是因为模板表达式在运行管道之前得到处理，并且那时系统只能使用静态值。这使得这些服务连接和环境能够在需要时获取变量的值。

Answer 2

Azure Devops Pipeline中的变量组Yaml变量表达式

它应该与$(var)一起使用。尝试检查以下测试yaml文件：

主要Yaml：

trigger:
- master

variables:
- group: Test2

pool:
  vmImage: 'windows-latest'

stages:

- template: azure-pipelines.yml

模板azure-pipelines.yml：

stages:
- stage: Test

  dependsOn: []

  jobs:

  - job: Test

    steps:

    - task: AzureKeyVault@1
      inputs:
        azureSubscription: $(spn_kv_app)
        KeyVaultName: $(keyVaultName)
        SecretsFilter: '*'

还有我的变量组：

作为测试结果：

所以，它在我这边工作正常。请检查您的变量组名称和变量名称。

希望这会有所帮助。

Azure Devops Pipeline中的变量组yaml变量表达式

PS。对于任何有兴趣的人。我创建了票证：

2 个答案: