Azure DevOps Pipeline中Az SQL PowerShell命令认证失败，求非交互式方案

在自托管Windows代理的Azure DevOps Pipeline中，运行调用Az模块（如Get-AzSqlDatabase、Get-AzSqlInstanceDatabase）的PowerShell脚本时出现认证失败，提示未设置Azure凭据，且作业已获取OAuth token权限，以下是几种最佳非交互式认证方式：

1. 直接复用Pipeline内置OAuth令牌认证 #

这是最推荐的方案，无需额外维护凭据，安全性高：

• 先在Pipeline的作业设置中开启允许脚本访问OAuth令牌（在代理作业的配置选项里找到该开关并勾选），这样作业环境会自动注入SYSTEM_ACCESSTOKEN和SYSTEM_TENANTID两个环境变量。
• 修改PowerShell脚本，在调用Az模块命令前添加认证代码：

  # 用Pipeline提供的OAuth令牌登录Az账户
  Connect-AzAccount -AccessToken $env:SYSTEM_ACCESSTOKEN -AccountId "system" -TenantId $env:SYSTEM_TENANTID
  
  # 原脚本逻辑
  $resourceGroupName = "rgname"
  $serverName = "sqldbname"
  
  $databases = Get-AzSqlDatabase -ResourceGroupName $resourceGroupName -ServerName $serverName
  
  foreach ($database in $databases) {
      Write-Host "Deleting database $($database.DatabaseName)..."
      Remove-AzSqlDatabase -ResourceGroupName $resourceGroupName -ServerName $serverName -DatabaseName $database.DatabaseName -Force
  }
  

• 令牌随作业生命周期自动过期，无需担心凭据泄露问题，且权限完全基于Pipeline配置的服务连接权限。

2. 复用Azure CLI任务的认证上下文 #

如果你的脚本是在Azure CLI任务中运行的，可以直接复用Azure CLI的认证上下文：

• Azure CLI任务在Pipeline中会自动使用服务主体完成认证，只需在PowerShell脚本中添加以下代码即可让Az模块复用该上下文：

  # 启用上下文自动保存并导入Azure CLI的认证信息
  Enable-AzContextAutosave -Scope Process
  Import-AzContext -AzureCliContext
  
  # 原脚本逻辑...
  

• 这种方式无需手动处理令牌，适合已经依赖Azure CLI任务的场景。

3. 自托管代理上配置持久化服务主体认证 #

如果需要代理上的所有Pipeline作业都能直接使用Az模块，可在代理机器上一次性配置持久化认证：

• 在自托管代理的运行用户下执行以下命令（替换为你的服务主体信息）：

  $spSecret = ConvertTo-SecureString "你的服务主体密钥" -AsPlainText -Force
  $credential = New-Object System.Management.Automation.PSCredential("服务主体客户端ID", $spSecret)
  Connect-AzAccount -ServicePrincipal -Credential $credential -Tenant "你的租户ID"
  # 保存上下文，后续作业无需重复登录
  Save-AzContext -Path "$env:USERPROFILE\.Azure\AzureRmContext.json"
  

• 注意：需要定期维护服务主体密钥的有效期，密钥过期后需重新配置，适合长期稳定的代理环境。

最佳实践总结 #

优先选择复用Pipeline内置OAuth令牌的方案，它无需管理额外凭据，安全性最高，且完全适配Pipeline的权限管控体系。

内容的提问来源于stack exchange，提问作者Elliot