Jak parametryzować środowisko w Azure DevOps?

Chciałem się trochę nauczyć tego jak umieścić aplikację webową w chmurze (Azure) przy użyciu AKS.
W dużym skrócie mam deployment gdzie są też zmienne typowo "kubernetsowe" (namespace, tempalte name etc.) i środowisko (connection string do bazy etc.),.
Jeśli chdozi o podstawowe flow to mam to ogarniętę i w miarę to jakoś poszło, jednak nie podobają mi się 2 rzeczy i nie bardzo wiem jak je rozwiązać, żeby było w miarę zautomatyzowane.

1. Przekazywanie danych wrażliwych do k8s konfiguracji, czyli connection string do bazy. Wiem, że jednym z rozwiązań jest Azure key-vault, jednak jak to przekazać do sekcj env w k8s pliku yaml? Oczywiscie można pisać skrypty podmieniające jakieś znaczniki, jednak nie jestem pierwszą osobą, które pewnie ma taki problem ;)
2. Podobne do pierwszego jednak zmiennych typu namespace, name czy imageName.

Głównie chodzi o to by w miare w prosty sposób konfigurować dane środowiska dla aplikacji, gdzie ustawiam tylko dane wrażliwe i jakie to środowisko a reszta jest według takiego samego schematu i fajnie nie duplikować plików a tymbardziej trzymać tych samych plików tylko per środowisko.

Czy istnieje jakieś narzędzie do tego? Od Microsoftu dostępne na Azure lub ew. zewnętrzne?

Możliwe, że dokumentacja niżej coś pomoże. Ogólnie jest tak jak mówisz, czyli można utworzyć Key Vault i w nim trzymać sekrety.
Taki Key Vault da się połączyć w ustawieniach projektu na Azure DevOps za pomocą Service Connections.

https://learn.microsoft.com/en-us/azure/devops/pipelines/release/key-vault-in-own-project?view=azure-devops&tabs=portal

Możesz dodatkowo wykorzystać Helm Charts. A oprócz Key Vault sekrety możesz trzymać też w Library. Kwestia tego jak głęboko to musi być schowane.

Azure (Portal) ma też coś takiego co się nazywa App Configuration - tylko to już w apce się konfiguruje i wtedy apka sobie pobiera konfigurację, której zmienne mogą być też trzymane częściowo w Key Vaulcie - np same dane wrażliwe.
Jeszcze kwestia tego jak tam uprawnienia do AKSa masz skonfigurowane., ale zakładam uprawnienia masz do namespaców konkretnych dostosowane wg potrzeb odpowiednio poograniczane.