部署Azure ARM模板时以域用户身份执行PowerShell命令失败

针对ARM模板部署时CustomScriptExtension（CSE）执行AD查询脚本失败的问题，核心原因及解决方法如下：

1. 执行上下文权限不足 #

CSE默认以本地系统账户运行，该账户仅拥有本地权限，无法访问Active Directory的计算机对象数据——而手动登录时使用的域用户/管理员账户具备AD读取权限。

解决方法： #

在CSE的protectedSettings中添加域账户凭据，指定以域身份执行脚本：

{
    "type": "Microsoft.Compute/virtualMachines/extensions",
    "dependsOn": [
        "[resourceId('Microsoft.Compute/virtualMachines/extensions', variables('vmName'), 'JoinDomain')]"
    ],
    "properties": {
        "type": "CustomScriptExtension",
        "publisher": "Microsoft.Compute",
        "typeHandlerVersion": "1.10",
        "settings": {
            "fileUris": ["<你的脚本存储URL（如Azure存储SAS地址）>"]
        },
        "protectedSettings": {
            "commandToExecute": "powershell -ExecutionPolicy Bypass .\\RunPythonScript.ps1",
            "runAsUser": "<域账户（如DOMAIN\\AdminUser）>",
            "runAsPassword": "<域账户密码>"
        }
    }
}

注意：建议使用Azure密钥保管库存储密码，避免明文写入模板。

2. 扩展执行顺序未强制依赖 #

ARM模板默认并行部署资源，若未设置dependsOn，CSE可能在VM完成域加入前就开始执行，此时VM尚未加入域，自然无法访问AD。

解决方法： #

为CSE添加对JsonADDomainExtension的依赖，确保域加入完成后再执行脚本：
在CSE资源的顶级属性中添加：

"dependsOn": [
    "[resourceId('Microsoft.Compute/virtualMachines/extensions', variables('vmName'), '<你的域扩展名称>')]"
]

3. 脚本未显式加载AD模块 #

手动登录时AD模块可能已自动加载，但CSE的执行环境可能未初始化该模块，导致Get-ADComputer命令报错。

解决方法： #

在PowerShell脚本开头添加模块导入语句：

# 强制导入ActiveDirectory模块，失败则终止脚本
Import-Module ActiveDirectory -ErrorAction Stop

# 后续的Get-ADComputer逻辑
Get-ADComputer -Filter * -Properties Name, DNSHostName, MACAddress | 
    Select-Object Name, DNSHostName, MACAddress | 
    Export-Csv -Path "C:\ADComputers.csv" -NoTypeInformation

4. 脚本文件未正确传递到VM #

若未在CSE的settings中指定fileUris，VM无法获取RunPythonScript.ps1文件，导致执行失败。

解决方法： #

将脚本上传至Azure存储账户（需开启SAS授权），并在CSE的settings中添加文件路径：

"settings": {
    "fileUris": ["https://<存储账户名>.blob.core.windows.net/<容器名>/RunPythonScript.ps1?<SAS令牌>"]
}

内容的提问来源于stack exchange，提问作者Suraj Jorwekar