如何在 Azure DevOps 上运行的 PowerShell 上登录 azure

Question

我有一个 PowerShell 文件，用于从我们的 Azure Key Vault 之一获取秘密值供以后使用（使用服务主体登录 Power BI）。 这是 DevOps 的截图，

这是我的 PS 代码，

Write-Output "Get Secret from AKV"
$secret = az keyvault secret show --vault-name PA01 --name <my key vault secret name> --output json
$x = $secret | ConvertFrom-Json

$azureAplicationId = "<my client id>"
$azureTenantId= "<my tenant id>"

Write-Output "Generate Credential"
$azurePassword = ConvertTo-SecureString $x.value -AsPlainText -Force
$psCred = New-Object System.Management.Automation.PSCredential($azureAplicationId , $azurePassword)

Write-Output "Login SP"
Connect-PowerBIServiceAccount -Tenant $azureTenantId -ServicePrincipal -Credential $psCred

我可以在 Cloud shell 上成功运行它，但在我的 Azure DevOps 管道上却失败了。 正如您在下面的屏幕截图中看到的那样，

我认为运行此命令时作业失败：

$secret = az keyvault secret show --vault-name PA01 --name <my key vault secret name> --output json

因为虽然作业自动运行Connect-AzAccount命令，但登录无效，据我所知，这就是为什么它说“错误：请运行 az login to setup account”（我猜是这样），所以“az keyvault”命令无法运行。

是的，我可以在我的脚本中添加“az login --use-device-code”并通过手动输入代码成功运行，但问题是，

我不希望在登录过程中有任何交互体验，因为我希望这个工作是全自动和无人值守的。

那么，有什么解决办法吗？ 对您的帮助深表感谢！

Answer 1

请检查这些：

PowerShell 脚本仅适用于 Windows 代理，确保代理具有 PowerShell 版本 5 或更低版本。

解决方法

• 尝试在您的机器上设置一个自托管代理（连接到 inte.net）。
• 然后你可以在自托管代理上运行任务，并选择运行 powershell 任务。 （这可能需要您将防火墙上的一些 devops 范围列入白名单）。

（或者）

通常Azure Cli 任务将使用az login进行身份验证。 作为解决方法，请尝试使用 Az CLI 任务和带有服务连接名称的 azureSubscription。 这包括针对 azure 订阅的身份验证作为其设置的一部分，因此你将能够运行 az cli 命令。

- task: AzureCLI@2
  displayName: Azure CLI
  inputs:
    azureSubscription: <Name of the Azure Resource service connection>
    scriptType: ps
    .....

此处还要检查管道中使用的服务连接是否具有足够的权限来运行脚本。为此确保服务原则/身份验证凭据具有所需的权限。

尝试将托管代理池上的 azure-cli 版本降级/升级到接近 2.0.64 或使用托管 VS2017 代理运行 az 命令

查看Azure PowerShell 任务 - Azure 管道 | 微软文档

参考：

1. Azure DevOps 管道作业在什么服务原则下运行？ - 堆栈溢出
2. az登录失败wih Azure DevOps管道 - VoidCC
3. 在 Azure Powershell 任务中使用 Azure CLI - 堆栈内存溢出