Azure Automation Runbook使用托管身份连接AzAccount报错排查

1. 检查并升级Az模块 #

Azure自动化账户默认的Az模块版本可能较低，早期版本不支持通过指定用户分配托管标识的ClientID来连接。

• 进入你的Azure自动化账户，左侧菜单选择模块
• 搜索Az.Accounts模块，查看当前版本，建议升级到2.8.0及以上的稳定版
• 若版本过低，点击更新按钮，选择最新版本完成升级

2. 修正Runbook代码 #

报错提示不能传入clientID，是因为自动化账户环境下使用用户分配托管身份时，无需通过-AccountId指定ClientID，需先确保自动化账户已关联目标托管身份，再使用简化代码：

# 自动化账户会自动使用已关联的用户分配托管身份完成连接
$azureContext = (Connect-AzAccount -Identity -Tenant $tenantId).context
$connectionResult = Set-AzContext -Tenant $tenantId -Subscription $subscriptionId -DefaultProfile $azureContext

如果你的自动化账户关联了多个用户分配托管身份，需指定特定身份时，要确保模块版本足够新，且使用-IdentityAccountId参数（而非-AccountId）：

$azureContext = (Connect-AzAccount -Identity -Tenant $tenantId -IdentityAccountId $managedIdentityApplicationId).context
$connectionResult = Set-AzContext -Tenant $tenantId -Subscription $subscriptionId -DefaultProfile $azureContext

3. 确认托管身份的关联与权限 #

• 进入Azure自动化账户，左侧菜单选标识，切换到用户分配标签，确认目标托管身份已添加在此处
• 同时检查该托管身份对目标Azure资源（如订阅、虚拟机等）是否具备足够权限（如Contributor、Reader），可通过资源的**访问控制(IAM)**页面配置相关权限

内容的提问来源于stack exchange，提问作者thedataguy