GitLab YAML中Connect-AzAccount执行失败问题求助

可能的原因及解决方案 #

1. YAML脚本缩进错误 #

你提供的gitlab-ci.yml中，before-script下的命令缩进不一致（后几行比前两行多一个空格），YAML对缩进敏感，这会导致部分命令未被正确执行，或者代理配置未被后续命令继承。

修复后的脚本：

before-script:
  - $env:HTTPS_PROXY = "https://xx.xx.xx.xxx"
  - $env:HTTPS_PROXY_CERT = "C:\folders\cert.crt"
  - $SecurePassword = ConvertTo-SecureString -String "xxxxxxx" -AsPlainText -Force
  - $TenantId = 'xxxxxx'
  - $ApplicationId = 'xxxxxx'
  - $Credential = New-Object -TypeName System.Management.Automation.PSCredential -ArgumentList $ApplicationId, $SecurePassword
  - Connect-AzAccount -ServicePrincipal -TenantId $TenantId -Credential $Credential

2. 代理环境变量未被Az模块正确识别 #

GitLab CI的非交互式PowerShell会话中，$env:设置的变量可能无法被Az模块完全读取。改用.NET环境变量设置方法，同时补充HTTP_PROXY（Az模块可能需要）和证书信任相关变量：

# 设置代理变量
[Environment]::SetEnvironmentVariable("HTTPS_PROXY", "https://xx.xx.xx.xxx", "Process")
[Environment]::SetEnvironmentVariable("HTTP_PROXY", "http://xx.xx.xx.xxx", "Process")
# 配置代理证书信任
[Environment]::SetEnvironmentVariable("REQUESTS_CA_BUNDLE", "C:\folders\cert.crt", "Process")
[Environment]::SetEnvironmentVariable("SSL_CERT_FILE", "C:\folders\cert.crt", "Process")
# 导入证书到当前用户信任存储
Import-Certificate -FilePath "C:\folders\cert.crt" -CertStoreLocation Cert:\CurrentUser\Root

3. 显式为Az模块配置代理 #

跳过环境变量依赖，直接在连接时指定代理参数，同时处理证书信任问题：

# 信任代理证书（仅适用于内部测试环境）
Add-Type @"
using System.Net;
using System.Security.Cryptography.X509Certificates;
public class TrustAllCertsPolicy : ICertificatePolicy {
    public bool CheckValidationResult(
        ServicePoint srvPoint, X509Certificate certificate,
        WebRequest request, int certificateProblem) {
        return true;
    }
}
"@
[System.Net.ServicePointManager]::CertificatePolicy = New-Object TrustAllCertsPolicy

# 配置代理参数
$proxyParams = @{
    Proxy = "https://xx.xx.xx.xxx"
    # 如果代理需要认证，添加以下两行，否则删除
    # ProxyCredential = New-Object System.Management.Automation.PSCredential("proxyuser", (ConvertTo-SecureString "proxypassword" -AsPlainText -Force))
    # ProxyUseDefaultCredentials = $false
}

# 连接Azure
$SecurePassword = ConvertTo-SecureString -String "xxxxxxx" -AsPlainText -Force
$TenantId = 'xxxxxx'
$ApplicationId = 'xxxxxx'
$Credential = New-Object -TypeName System.Management.Automation.PSCredential -ArgumentList $ApplicationId, $SecurePassword
Connect-AzAccount -ServicePrincipal -TenantId $TenantId -Credential $Credential @proxyParams

4. GitLab Runner执行上下文权限问题 #

如果Runner以服务身份运行，可能存在以下问题：

• 无法访问C:\folders\cert.crt：给Runner服务账户添加该文件的读取权限，或把证书移到Runner工作目录。
• 证书未被服务账户信任：以Runner服务账户身份登录，手动将证书导入Cert:\LocalMachine\Root存储，确保所有会话都能信任该证书。

5. 启用Debug日志排查 #

添加-Debug参数获取详细错误信息，定位具体问题：

Connect-AzAccount -ServicePrincipal -TenantId $TenantId -Credential $Credential -Debug

内容的提问来源于stack exchange，提问作者Nishant Ladiwal