Azure DevOps部署管道无法连接Azure资源，请求排查步骤指导

1. 验证托管身份的基本权限与有效性 #

• 确认新更新的托管身份（或服务主体）在目标Azure订阅中拥有足够权限：需至少具备Data Factory Contributor+Key Vault Contributor（或对应资源的最小部署权限），避免因权限不足导致访问失败。
• 在Azure门户的「Microsoft Entra ID -> 企业应用程序」中找到该身份，确认其状态为「启用」，未被禁用或误删。

2. 核对Azure DevOps管道的服务连接配置 #

• 检查管道关联的Azure服务连接：确保已更新为使用新密钥，密钥值、有效期输入无误，未残留旧的过期凭据。
• 测试服务连接有效性：在Azure DevOps项目设置的「服务连接」中，找到对应连接并点击「测试连接」，若测试失败，根据提示修复（如密钥无效、租户匹配错误）。

3. 排查脚本执行的身份上下文问题 #

• 确认脚本任务的身份验证配置：若使用Azure PowerShell任务，需勾选「使用Azure资源管理器服务连接进行身份验证」并选择正确的服务连接；若为普通PowerShell任务，需确保通过Connect-AzAccount等命令正确加载托管身份凭据，避免脚本未获取有效身份。
• 查看管道详细执行日志：展开失败任务的日志，定位具体错误信息（如「订阅无法访问」「权限被拒绝」），精准定位故障点。

4. 检查订阅与租户的关联限制 #

• 确认托管身份所在的Microsoft Entra租户与目标Azure订阅属于同一租户，避免跨租户访问导致的权限拦截。
• 检查目标订阅/资源组的资源锁：若存在「只读锁」或「删除锁」，会阻止部署操作，需确认锁的配置是否影响当前部署。

5. 适配Azure近期身份验证变更 #

• 确认租户是否启用Microsoft Entra ID安全默认值：若启用，需确保托管身份符合现代身份验证要求（如禁用旧版协议、使用MFA等，服务主体需适配对应规则）。
• 评估凭据类型合理性：Azure近期推荐使用客户端证书替代客户端密钥，若坚持使用密钥，需确认密钥有效期未触发租户的强制过期策略，且配置符合安全规范。

内容的提问来源于stack exchange，提问作者Dmitriy Ryabin