使用PowerShell连接Azure存储账户遇AADSTS7000215错误求助

核心排查步骤 #

虽然你确认密钥正确，但这类报错大概率和密钥的格式、有效期或配置细节有关，以下是逐一验证的实操步骤：

1. 确认客户端密钥的实际取值 #

• Azure应用注册中创建的客户端密码（Client Secret），有效取值是创建时弹窗显示的完整字符串，不是密钥的名称或ID。如果之前复制的是后者，直接会触发这个报错。
• 建议重新生成一个新的客户端密钥，复制生成后的完整值（仅显示一次），替换代码里的密钥字符串，避免复制时遗漏字符或带了多余空格。

2. 检查密钥的有效期 #

登录Azure门户，找到对应的应用注册，进入「证书和密码」页面，确认当前使用的密钥是否已过期。如果过期，生成新密钥后再重新测试。

3. 核对租户ID与服务主体归属 #

确保代码中的TenantId和服务主体（应用注册）所在的租户ID完全一致，避免因租户写错导致认证失败。

4. 优化代码写法（减少格式问题） #

可以改用更简洁的方式构造凭据，避免手动创建对象时的潜在问题：

$TenantId = 'yyyyyyyy-yyyy-yyyy-yyyy-yyyyyyy'
$ApplicationId = 'zzzzzzzz-zzzz-zzzz-zzzz-zzzzzzzz'
$ClientSecret = "替换为新生成的客户端密钥完整值"

$SecureSecret = ConvertTo-SecureString $ClientSecret -AsPlainText -Force
$Credential = [System.Management.Automation.PSCredential]::new($ApplicationId, $SecureSecret)

Connect-AzAccount -ServicePrincipal -TenantId $TenantId -Credential $Credential

5. 排查本地网络与代理 #

由于你通过私有端点访问存储账户，需确保本地服务器能正常连接Azure AD（认证依赖AAD端点）。如果有网络代理，需为PowerShell配置代理：

# 替换为你的代理地址和端口
$ProxyUri = "http://your-proxy-server:port"
[System.Net.WebRequest]::DefaultWebProxy = New-Object System.Net.WebProxy($ProxyUri)
[System.Net.WebRequest]::DefaultWebProxy.Credentials = [System.Net.CredentialCache]::DefaultCredentials

6. 开启调试日志定位问题 #

如果以上步骤无效，可开启调试模式查看详细认证流程，定位具体报错点：

Connect-AzAccount -ServicePrincipal -TenantId $TenantId -Credential $Credential -Debug

内容的提问来源于stack exchange，提问作者Aakash Ravindran