Azure Automation Runbook无报错挂起，API Management备份执行失败

问题描述 #

本地PowerShell以订阅所有者身份运行APIM备份脚本可正常完成，但在Azure Automation Runbook中执行时仅返回以下提示，无具体错误信息，尝试用户分配身份和系统分配身份结果一致：

Suspended
The runbook job was attempted 3 times, but it failed each time. Common reasons that runbook jobs fail can be found here: https://docs.microsoft.com/en-us/azure/automation/automation-troubleshooting-automation-errors

原脚本（存在语法错误）：

$method="UA"
$apiManagementName="xxxx-Prod";
$apiManagementResourceGroup="xxxx-Prod";
$storageAccountName=xxxxstorage"; # 此处缺失开头双引号，语法错误
$storageResourceGroup="xxxations";
$containerName="xxxxbackups";
$blobName="prodnpapim.apimbackup"
$date = (Get-Date).ToString("yyyyMMdd")
$outputBlobName = "$($date)$($blobName)"

$identityName = "xxxx-OPS-MID";
$identityResourceGroup = "xxxxtions";

try
{
    "Logging in to Azure..."
    Connect-AzAccount -Identity
}
catch {
    Write-Error -Message $_.Exception
    throw $_.Exception
}

$storageKey = (Get-AzStorageAccountKey -ResourceGroupName $storageResourceGroup -StorageAccountName $storageAccountName)[0].Value

$storageContext = New-AzStorageContext -StorageAccountName $storageAccountName -StorageAccountKey $storageKey

"Starting backup"

try{
    Backup-AzApiManagement -ResourceGroupName $apiManagementResourceGroup -Name $apiManagementName `
        -StorageContext $storageContext -TargetContainerName $containerName -TargetBlobName $outputBlobName
}
catch{
    "Backup-AzApiManagement error"   
    exit
}

排查与解决步骤 #

1. 修复脚本语法错误 #

原脚本中$storageAccountName=xxxxstorage";缺失开头双引号，属于语法错误，会直接导致Runbook执行失败，修正为：

$storageAccountName="xxxxstorage";

2. 完善错误捕获，获取详细错误信息 #

当前脚本的catch块仅输出简单提示后直接exit，无法记录详细错误，修改catch块以输出完整异常信息：

try{
    Backup-AzApiManagement -ResourceGroupName $apiManagementResourceGroup -Name $apiManagementName `
        -StorageContext $storageContext -TargetContainerName $containerName -TargetBlobName $outputBlobName
}
catch{
    Write-Error "Backup-AzApiManagement error: $_"
    Write-Error "Exception details: $($_.Exception.ToString())"
    throw $_
}

同时确保Connect-AzAccount的catch块输出完整异常，这样Runbook的作业日志中会显示具体错误原因，方便定位问题。

3. 检查自动化身份的权限配置 #

无论是系统分配还是用户分配身份，都需要具备以下权限：

• APIM资源：至少拥有API Management Service Contributor权限，或自定义权限包含Microsoft.ApiManagement/service/backup/action操作
• 存储账户：至少拥有Storage Account Contributor权限，或自定义权限包含Microsoft.Storage/storageAccounts/listKeys/action（用于获取存储密钥）以及Microsoft.Storage/storageAccounts/blobServices/containers/blobs/write（用于写入备份文件）权限

4. 验证自动化账户的Az模块版本 #

Azure Automation默认的Az模块版本可能较旧，Backup-AzApiManagement cmdlet可能存在兼容性问题：

• 进入自动化账户的「模块」页面，检查Az.ApiManagement和Az.Storage模块的版本
• 如果版本过旧，更新至最新稳定版，更新后重新测试Runbook

5. 改用托管身份直接访问存储（无需存储密钥） #

当前脚本通过获取存储密钥创建存储上下文，可改用托管身份直接认证存储，避免密钥管理问题，同时减少权限依赖：

# 替换原存储上下文创建代码
$storageContext = New-AzStorageContext -StorageAccountName $storageAccountName -UseConnectedAccount

此方式需要确保自动化身份对存储账户拥有Storage Blob Data Contributor权限（无需listKeys权限）。

6. 查看Runbook作业的完整日志 #

在自动化账户的「作业」页面，找到失败的作业，切换到「所有日志」选项卡，里面会包含脚本的输出和错误信息，即使Runbook显示Suspended，也能找到具体的异常堆栈。

内容的提问来源于stack exchange，提问作者Damo