GitHub Action切换至环境变量后无法完成Azure登录的问题排查

疑问1：设置environment: development是否允许访问该环境下的密钥？ #

可以。当你在GitHub Actions的job中指定environment: development后，该job会自动获得对应环境下所有**环境密钥（Environment Secrets）**的访问权限，只要工作流中引用的密钥名称正确（比如${{ secrets.AZURE_SERVICE_PRINCIPAL }}），就能正常调用该环境的密钥。

疑问2：为何从仓库变量切换至环境密钥后无法登录？ #

结合报错信息和你的配置，可能的原因如下：

1. 密钥名称拼写错误 #

注意Azure服务主体的正确术语是Service Principal（末尾为al），但你配置的密钥名称是AZURE_SERVICE_PRINCIPLE（末尾为le）——GitHub Secrets是大小写敏感的，要确保环境中创建的密钥名称和工作流里引用的完全一致，包括拼写和大小写。

2. 服务主体凭据格式不正确 #

azure/login@v1要求creds参数是完整的JSON格式字符串，必须是通过az ad sp create-for-rbac --sdk-auth命令生成的完整输出内容，不能遗漏任何字段（如tenantId、clientId、clientSecret、subscriptionId），也不能添加多余的空格或换行。要核对粘贴到环境密钥中的内容是否和命令输出完全一致。

3. 服务主体权限或配置错误 #

即使按步骤创建了服务主体，也可能存在以下问题：

• 未给服务主体分配目标Azure资源的足够权限（比如Contributor角色）；
• 服务主体的tenantId、clientId、clientSecret或subscriptionId有误，导致无法通过Azure AD验证。
  可以通过本地Azure CLI手动测试凭据是否有效：

az login --service-principal -u <clientId> -p <clientSecret> --tenant <tenantId>

4. Azure CLI版本兼容性问题 #

虽然ubuntu-latest runner默认安装了Azure CLI，但旧版本可能和azure/login@v1存在兼容性问题。可以在登录步骤前添加更新CLI的步骤：

- name: Update Azure CLI
  run: az upgrade --yes

5. 环境审批未通过 #

如果你的development环境开启了必需审批设置，job会暂停等待审批，此时也会表现为登录步骤失败（实际是job未被允许执行）。要检查环境设置，确认是否需要手动审批后才能运行job。

内容的提问来源于stack exchange，提问作者Code Ratchet