Github Workflow创建Azure应用客户端秘钥权限不足问题求助

问题根源 #

你通过OIDC登录Azure时使用的服务主体（对应azure/login步骤里的client-id），没有被授予管理目标AD应用客户端秘钥的目录级权限。Azure AD应用的凭证管理属于租户目录操作，和订阅权限无关，所以即使跳过subscription_id也必须配置正确的目录权限。

具体解决步骤 #

1. 定位OIDC使用的服务主体 #

• 登录Azure门户，进入Azure Active Directory > 企业应用
• 通过azure/login里填写的client-id搜索对应的服务主体（或直接用名称查找）

2. 授予服务主体管理AD应用凭证的权限 #

推荐两种方式（优先选最小权限方案）：

方案一：让服务主体成为目标AD应用的所有者（最小权限）

• 进入Azure Active Directory > 应用注册，找到你要更新秘钥的目标AD应用（对应az ad app credential reset里的--id）
• 切换到所有者标签页，点击添加所有者
• 搜索并选择你的OIDC服务主体，完成添加

方案二：分配Azure AD角色（权限范围更大，适合测试）

• 进入Azure Active Directory > 角色和管理员
• 搜索并选择应用程序管理员角色，点击添加成员
• 选择你的OIDC服务主体，完成添加

3. 验证权限生效 #

重新运行GitHub Workflow，或在本地模拟测试：

# 用服务主体登录Azure
az login --service-principal -u <OIDC_CLIENT_ID> -p <SERVICE_PRINCIPAL_SECRET> --tenant <TENANT_ID>
# 执行秘钥重置命令测试
az ad app credential reset --id <TARGET_APP_ID> --append --display-name "GitHubWorkflowSecret" --end-date "$(date -u -d '+90 days' +'%Y-%m-%dT%H:%M:%SZ')"

额外优化建议 #

• 跨平台兼容：如果Workflow使用Windows runner，date命令格式会失效，建议指定runs-on: ubuntu-latest避免此问题。
• 秘钥存入Key Vault：生成新秘钥后，需解析Azure CLI的JSON输出并写入KV，示例步骤：

  # 安装jq解析JSON
  sudo apt-get install -y jq
  # 生成秘钥并提取密码字段
  CLIENT_SECRET_JSON=$(az ad app credential reset --id <TARGET_APP_ID> --append --display-name "GitHubWorkflowSecret" --end-date "$(date -u -d '+90 days' +'%Y-%m-%dT%H:%M:%SZ')")
  CLIENT_SECRET_VALUE=$(echo $CLIENT_SECRET_JSON | jq -r '.password')
  # 写入Key Vault
  az keyvault secret set --vault-name <YOUR_KV_NAME> --name <SECRET_NAME> --value "$CLIENT_SECRET_VALUE"
  

内容的提问来源于stack exchange，提问作者yuva