使用Databricks CLI v0.203.2执行repos update遇AAD凭证错误

官方建议登出再登入Azure Portal的原因 #

• 该操作核心是清除本地缓存的过期/无效AAD会话凭证：当工作区配置了AAD联合认证，或是CLI内部逻辑优先尝试AAD凭证而非你提供的PAT时，CLI可能读取本地Azure CLI或浏览器缓存的AAD令牌。若这些令牌过期、权限不足或与当前工作区不匹配，就会触发凭证错误。登出再登入Azure Portal会强制刷新本地AAD会话缓存，理论上能解决这类缓存导致的凭证冲突。
• 同时，若存在多租户/账号的会话上下文混乱（比如同时登录了多个Azure账号），登出再登入可以重置会话上下文，确保使用的是对应工作区的有效AAD身份。

登出登入无效的可能原因及排查方向 #

既然PAT能正常执行databricks repos list，说明PAT本身权限无问题，问题出在repos update的特殊逻辑上：

1. CLI凭证优先级异常：新版Databricks CLI可能默认优先使用AAD凭证（如Azure CLI登录的令牌），而非手动指定的PAT。即使配置了PAT，CLI仍可能尝试用AAD令牌执行update操作，而该令牌无对应权限。
   • 处理：运行databricks auth list查看当前凭证配置，确保PAT对应的配置文件处于活跃状态，或用databricks auth activate <profile-name>切换到PAT配置；也可在执行命令时显式指定PAT凭证。
2. repos update权限要求更高：repos list仅需仓库读取权限，但repos update可能需要仓库写入权限，或是关联Git仓库（如Azure DevOps）的AAD集成权限。你的PAT有读取权限，但AAD凭证无写入权限，而CLI又优先调用了AAD凭证。
   • 处理：检查PAT是否包含repos write权限，或确认关联Git仓库的访问权限是否允许当前身份执行更新操作。
3. 本地凭证缓存未彻底清除：仅登出Azure Portal可能未清除Azure CLI的本地令牌缓存，导致旧凭证仍被调用。可执行az account clear清除Azure CLI缓存，再重新配置Databricks CLI的PAT凭证。
4. CLI版本bug：v0.203.2作为较新版本，可能存在凭证逻辑bug，导致update命令异常优先使用AAD凭证。可尝试降级到稳定版或升级至最新版后重试。

内容的提问来源于stack exchange，提问作者Oliver Angelil