如何通过自托管运行器的AZ CLI流水线批量更新IoT Edge父设备Git凭证

这个方案完全可以实现，自托管运行器只要配置好Azure CLI（AZ CLI）和对应权限，就能与IoT Hub完成交互，AZ CLI本身提供了完整的IoT Edge设备/模块孪生操作命令，足以支撑你提出的批量更新流程。

具体实现步骤与操作细节 #

• 步骤1：获取父设备列表
  通过AZ CLI的设备身份列表命令，结合筛选条件精准定位父设备（无父设备ID的Edge设备，或提前标记了父设备标签的设备）。示例命令：

  # 筛选所有IoT Edge设备且无父设备ID的父设备
  az iot hub device-identity list --hub-name <你的IoT Hub名称> --query "[?capabilities.iotEdge && !parentDeviceId]" -o json
  

  若你是通过设备标签区分父设备（比如标签deviceType: parent），可修改查询条件：

  az iot hub device-identity list --hub-name <你的IoT Hub名称> --query "[?capabilities.iotEdge && tags.deviceType == 'parent']" -o json
  

• 步骤2：批量替换GitHub容器凭证
  遍历获取到的父设备列表，针对每个设备的$edgeAgent模块孪生（对应registry和runtime的凭证配置）进行修改，可借助jq工具处理JSON内容：

  # 遍历父设备ID列表（假设已将设备ID存入变量DEVICE_IDS）
  for DEVICE_ID in "${DEVICE_IDS[@]}"
  do
      # 获取当前$edgeAgent模块孪生并更新凭证
      az iot hub module-twin show --hub-name <你的IoT Hub名称> --device-id $DEVICE_ID --module-id '$edgeAgent' -o json | \
      jq '.properties.desired.registryCredentials."ghcr.io" = {
          "username": "'${GITHUB_USERNAME}'",
          "password": "'${GITHUB_PASSWORD}'",
          "address": "ghcr.io"
      }' > updated-edge-agent-twin.json
      
      # 提交更新后的模块孪生
      az iot hub module-twin update --hub-name <你的IoT Hub名称> --device-id $DEVICE_ID --module-id '$edgeAgent' --desired @updated-edge-agent-twin.json
      
      # 若需更新设备孪生本身的相关属性，执行类似操作
      # az iot hub device-twin show --hub-name <你的IoT Hub名称> --device-id $DEVICE_ID -o json | jq '...' > updated-device-twin.json
      # az iot hub device-twin update --hub-name <你的IoT Hub名称> --device-id $DEVICE_ID --desired @updated-device-twin.json
  done
  

  注意：凭证需通过流水线秘密变量传递，避免明文暴露。

• 步骤3：部署更新后的父设备
  更新$edgeAgent模块孪生后，IoT Edge设备会自动拉取新配置并应用。若需显式触发部署，可使用AZ CLI的Edge部署命令：

  az iot edge set-modules --hub-name <你的IoT Hub名称> --device-id $DEVICE_ID --content updated-edge-agent-twin.json
  

自托管运行器配置要求 #

• 运行器上需安装AZ CLI，并完成Azure身份验证（推荐使用服务主体登录，避免交互式操作）：

  az login --service-principal -u <服务主体ID> -p <服务主体密钥> --tenant <租户ID>
  

• 服务主体需具备IoT Hub的IoT Edge Device Admin或Contributor权限，确保能读写设备/模块孪生。

关键注意事项 #

• 父设备筛选逻辑要精准，避免误操作子设备；
• 批量操作前先在单台父设备上完成测试，验证凭证更新效果；
• 所有敏感信息（如服务主体密钥、GitHub凭证）需通过流水线的秘密存储机制管理，禁止硬编码到脚本中。

内容的提问来源于stack exchange，提问作者Stefano