启用Run From Package的PowerShell Azure Functions权限错误求助

问题描述 #

我用PowerShell开发的Azure Functions正常部署时运行良好，但通过Azure DevOps流水线启用App Service的Run From Package模式后，函数立即报错：

Error: Access to the path 'C:\home\site\wwwroot\.Azure\AzureRmSurvey.json' is denied.

该文件由Az PowerShell模块创建，用于存储用户的调查退出选择。由于Run From Package将zip包挂载为只读文件共享，模块无法写入wwwroot下的.Azure\AzureRmSurvey.json导致崩溃。

已尝试的方案 #

• 在profile.ps1和应用设置中配置环境变量：

  # in profile.ps1
  Set-Item Env:\AzSurveyMessage -Value 'false'
  $env:POWERSHELL_TELEMETRY_OPTOUT = '1'
  $env:AZURE_PS_SILENT_MODE      = 'true'
  $env:AZURE_PS_NO_SURVEY        = 'true'
  # redirect HOME/USERPROFILE into temp
  $env:HOME        = $env:TEMP
  $env:USERPROFILE = $env:TEMP
  

  无效果，仍出现相同的权限拒绝错误。
• 禁用Run From Package：运行正常，但需要该模式以实现整洁的CI/CD流水线和只读代码部署。
• 升级Az模块并锁定版本：仍出现.Azure\AzureRmSurvey.json写入错误。
• 设置WEBSITE_RUN_FROM_PACKAGE=0：恢复为正常部署，但违背使用该模式的初衷。

需要的帮助 #

• 能否让Az PowerShell模块在Run From Package模式下将调查文件重定向到可写目录？
• 是否有App Service配置选项或函数绑定可将~/.Azure映射到可写文件夹？
• 在PowerShell版Azure Functions中禁用Az模块调查/遥测的最佳实践，使其不再尝试写入wwwroot目录。
• 或任何保留Run From Package模式同时避开只读发布目录的替代解决方案。

解决方案 #

1. 重定向Az模块配置目录到可写路径 #

Az PowerShell模块的配置目录由AZURE_CONFIG_DIR环境变量控制，默认读取HOME/.Azure或USERPROFILE/.Azure。在Run From Package模式下，直接将该变量指向App Service的持久化可写目录即可：

• 通过Azure Portal配置：进入Function App -> 配置 -> 应用设置，添加：

  AZURE_CONFIG_DIR = D:\home\data\.Azure
  

• 通过PowerShell命令配置：

  az functionapp config appsettings set --name <你的函数应用名> --resource-group <你的资源组> --settings AZURE_CONFIG_DIR="D:\home\data\.Azure"
  

D:\home\data是App Service默认的持久化可写目录，重启函数应用后，Az模块会自动在该路径创建所需配置文件，不再尝试写入只读的wwwroot目录。

2. 彻底禁用Az模块调查与遥测 #

之前的环境变量配置可能因执行时机晚于Az模块初始化而失效，需通过应用设置添加以下变量（优先级高于profile.ps1中的设置，启动阶段即生效）：

AZURE_PS_NO_SURVEY = true
POWERSHELL_TELEMETRY_OPTOUT = 1
AZURE_PS_SILENT_MODE = true
AzSurveyMessage = false

3. 临时使用无配置模式（适用于一次性命令场景） #

如果函数仅执行单次Az操作，无需持久化配置，可在代码中临时指定配置目录到临时文件夹：

$env:AZURE_CONFIG_DIR = $env:TEMP
# 执行Az模块命令
Connect-AzAccount -Identity
# ...后续操作

这种方式每次运行都会使用临时目录，不会产生持久化文件。

4. 验证方法 #

重启函数应用后，通过Kudu控制台的文件管理器查看D:\home\data\.Azure目录，确认是否生成AzureRmSurvey.json；同时检查函数日志，确认权限错误消失。

内容的提问来源于stack exchange，提问作者Olgaraa