ARM模板中Microsoft.Resources/deploymentScripts部署脚本的PowerShell Try-Catch未生效问题排查

我碰到过类似的情况，你的问题根源在于Azure部署脚本的容器环境和本地PowerShell的错误处理逻辑存在细微差异，导致Try-Catch块没有按预期捕获到Invoke-RestMethod的错误。下面是具体的修复方案和原因分析：

1. 强制Invoke-RestMethod抛出可捕获的终止错误 #

虽然你设置了$ErrorActionPreference = "Continue"，但Invoke-RestMethod这个cmdlet本身的默认错误行为是抛出终止错误，不过在Azure的容器化部署环境中，可能存在错误传播的特殊处理。你需要明确给Invoke-RestMethod加上-ErrorAction Stop参数，确保错误被强制触发并进入Catch块：

修改后的Try块代码：

try {
    Invoke-RestMethod -Method 'Post' -Uri $url -Body $json -Headers $Headers -ContentType 'application/json' -ErrorAction Stop
} catch {
    # 你的错误处理逻辑
}

2. 给错误细节处理加个“安全网” #

在Azure环境中，偶尔会出现API返回的错误没有携带JSON格式详情的情况，这时候你的原始代码里直接执行$_.ErrorDetails.Message | ConvertFrom-Json会抛出新的错误，导致脚本直接终止。所以要先检查错误详情是否存在：

更新后的Catch块：

catch {
    # 先判断是否有可解析的错误详情
    if (-not [string]::IsNullOrEmpty($_.ErrorDetails.Message)) {
        $errordetails = $_.ErrorDetails.Message | ConvertFrom-Json
        # 只忽略指定的重复添加错误
        if($errordetails.error.message -ne "One or more added object references already exist for the following modified properties: 'members'.") {
            throw $_.Exception
        }
    } else {
        # 如果没有错误详情，检查状态码是否是预期的400（重复添加会返回400）
        if ($_.Exception.Response.StatusCode -ne [System.Net.HttpStatusCode]::BadRequest) {
            throw $_.Exception
        }
        # 这里默认把无详情的400错误视为重复添加，符合你的业务需求
    }
}

额外优化：避免触发错误，提前检查成员是否存在 #

其实更优雅的方式是在执行添加操作前，先调用Graph API确认成员是否已经在角色里，这样就不用依赖错误捕获了：

# 在添加前检查成员是否已存在
$checkMemberUrl = "https://graph.microsoft.com/v1.0/directoryRoles/$roleId/members/$spObjectId/`$ref"
try {
    # 如果调用成功，说明成员已存在
    $null = Invoke-RestMethod -Uri $checkMemberUrl -Headers $Headers -ErrorAction Stop
    Write-Host "成员已在目标角色中，无需重复操作"
} catch {
    # 返回404表示成员不存在，执行添加
    if ($_.Exception.Response.StatusCode -eq [System.Net.HttpStatusCode]::NotFound) {
        Invoke-RestMethod -Method 'Post' -Uri $url -Body $json -Headers $Headers -ContentType 'application/json' -ErrorAction Stop
        Write-Host "成员成功添加到角色"
    } else {
        # 其他错误直接抛出
        throw $_.Exception
    }
}

为什么本地正常但Azure不行？ #

主要是两个环境的差异：

• Azure部署脚本运行在容器里，PowerShell的错误传播机制比本地更严格，未明确指定-ErrorAction Stop时，部分错误可能不会被Try-Catch正确捕获
• 偶尔Azure环境中的Graph API响应格式会和本地略有不同，比如错误详情为空，导致你的原始Catch块逻辑崩溃，进而终止脚本

内容的提问来源于stack exchange，提问作者E. Staal