Azure自动化账户中证书认证Graph API的运行报错问题

核心问题 #

在Azure自动化Runbook（PowerShell 5.1）中执行Get-AzAutomationCertificate时触发NullReferenceException，但本地VS Code环境可正常运行相同代码。

可能原因及排查步骤 #

1. Runbook执行身份权限不足 #

• 自动化账户的运行身份（系统分配/用户分配托管身份）缺少访问目标自动化证书的权限。
• 排查：
  • 确认运行身份是否被授予Automation Certificate Reader或Automation Contributor权限（作用范围为目标自动化账户所在资源组）。
  • 添加权限后重新测试Runbook。

2. Az模块版本兼容性问题 #

• Runbook中使用的Az.Automation模块版本存在bug，导致Get-AzAutomationCertificate返回空对象。
• 排查：
  • 在自动化账户「模块」页面查看Az.Automation版本，升级到最新稳定版，或回退到本地测试时使用的同版本。
  • 升级后需确认依赖模块的兼容性，必要时重新导入相关模块。

3. 资源名称拼写/大小写错误 #

• Azure部分资源名称区分大小写，Runbook中参数可能存在输入偏差（本地测试时名称正确，但Runbook中拼写错误）。
• 排查：
  • 从Azure门户直接复制自动化账户、资源组、证书的准确名称，替换代码中的参数。
  • 在Runbook中添加输出语句验证参数：Write-Output "ResourceGroup: automation, Account: aa-automation-common, CertName: cert-auth-prod-exportable"。

4. Az模块未正确导入 #

• Runbook中未显式导入Az.Automation模块，导致Get-AzAutomationCertificate cmdlet未加载。
• 排查：
  • 在代码开头添加Import-Module Az.Automation -RequiredVersion <对应版本>，确保模块加载后再执行命令。

5. 自动化账户中证书存储异常 #

• 上传的证书可能存在损坏，或不可导出证书在Runbook环境中无法被读取。
• 排查：
  • 重新上传可导出的PFX证书，确保上传时密码输入正确。
  • 在Runbook中先执行Get-AzAutomationCertificate -ResourceGroupName "automation" -AutomationAccountName "aa-automation-common"，确认目标证书在返回列表中。

替代方案（绕开Get-AzAutomationCertificate问题） #

使用自动化账户内置的Get-AutomationCertificate cmdlet直接读取证书，无需依赖Az模块：

Import-Module Microsoft.Graph.Users

$AppId = '<app id>'
$TenantId = '<tenant id>'
$certName = "cert-auth-prod-exportable"

# 直接读取当前自动化账户中的证书
$cert = Get-AutomationCertificate -Name $certName

Connect-MgGraph -Certificate $cert -TenantId $TenantId -ClientId $AppId

Get-MgUser -UserId "<user id>"

内容的提问来源于stack exchange，提问作者ChristofferL