如何通过PowerShell生成Azure B2C应用新密钥并解决资源找不到错误

方案可行性确认 #

完全可行，Azure B2C属于特殊的Azure AD租户，支持通过PowerShell或Microsoft Graph API以编程方式管理应用注册的密钥，只要操作的服务主体拥有足够权限（如Application.ReadWrite.All或应用管理员角色）。

原脚本错误分析 #

你遇到的Request_ResourceNotFound错误主要由以下原因导致：

• 脚本中未定义$AppObjectID变量，直接调用New-AzureADApplicationPasswordCredential时参数无效
• 使用Connect-AzAccount获取的ARM令牌连接AzureAD模块，存在权限或令牌受众不匹配问题
• 服务主体未被授予足够的Azure B2C租户权限，或指定的应用ID/ObjectID有误

推荐解决方案（使用Microsoft Graph PowerShell模块） #

Microsoft Graph PowerShell是Azure AD/B2C管理的官方推荐工具，兼容性更好。以下是修正后的脚本：

1. 安装并导入模块 #

# 首次运行安装模块
Install-Module Microsoft.Graph -Scope CurrentUser -Force
# 导入应用管理相关模块
Import-Module Microsoft.Graph.Applications

2. 服务主体认证并生成密钥 #

# 配置参数
$clientId = "你的服务主体Application ID"
$clientSecret = "你的服务主体密钥"
$tenantId = "你的B2C租户ID（如xxx.onmicrosoft.com对应的GUID）"
$targetAppId = "要生成密钥的B2C应用的Application ID"
$secretDescription = "Auto-generated secret via PowerShell"
$secretExpiryYears = 2

# 转换密钥为安全字符串
$secureSecret = ConvertTo-SecureString $clientSecret -AsPlainText -Force
$credential = New-Object System.Management.Automation.PSCredential ($clientId, $secureSecret)

# 连接Microsoft Graph
Connect-MgGraph -Credential $credential -TenantId $tenantId -Scopes "Application.ReadWrite.All"

# 获取目标应用的ObjectID
$targetApp = Get-MgApplication -Filter "appId eq '$targetAppId'"
if (-not $targetApp) {
    Write-Error "未找到指定的应用: $targetAppId"
    exit 1
}

# 生成新的客户端密钥
$endDate = (Get-Date).AddYears($secretExpiryYears)
$newSecret = Add-MgApplicationPassword -ApplicationId $targetApp.Id -PasswordCredential @{
    DisplayName = $secretDescription
    EndDateTime = $endDate
}

# 输出密钥值（注意：仅生成时能获取，后续无法再查看）
Write-Host "新生成的应用密钥: $($newSecret.SecretText)"

Azure DevOps Pipeline实现定时自动生成密钥 #

1. 配置Pipeline变量 #

在Azure DevOps项目中添加以下变量（建议设为机密变量）：

• ServicePrincipalClientId：服务主体的Application ID
• ServicePrincipalClientSecret：服务主体的密钥
• B2CTenantId：B2C租户ID
• TargetAppId：要管理的B2C应用ID

2. 创建PowerShell任务（YAML示例） #

trigger: none # 禁用自动触发，使用定时触发器
schedules:
- cron: "0 0 1 * *" # 每月1号凌晨执行，可按需调整时间规则
  displayName: 每月自动生成应用密钥
  branches:
    include:
    - main
  always: true

pool:
  vmImage: 'windows-latest'

steps:
- task: PowerShell@2
  inputs:
    targetType: 'inline'
    script: |
      # 安装Microsoft Graph模块
      Install-Module Microsoft.Graph -Scope CurrentUser -Force -AllowClobber
      Import-Module Microsoft.Graph.Applications

      # 配置参数
      $clientId = "$(ServicePrincipalClientId)"
      $clientSecret = "$(ServicePrincipalClientSecret)"
      $tenantId = "$(B2CTenantId)"
      $targetAppId = "$(TargetAppId)"
      $secretDescription = "Auto-generated via Azure DevOps Pipeline"
      $secretExpiryYears = 2

      # 认证并连接Graph
      $secureSecret = ConvertTo-SecureString $clientSecret -AsPlainText -Force
      $credential = New-Object System.Management.Automation.PSCredential ($clientId, $secureSecret)
      Connect-MgGraph -Credential $credential -TenantId $tenantId -Scopes "Application.ReadWrite.All"

      # 获取目标应用
      $targetApp = Get-MgApplication -Filter "appId eq '$targetAppId'"
      if (-not $targetApp) {
          Write-Error "未找到应用: $targetAppId"
          exit 1
      }

      # 生成密钥
      $endDate = (Get-Date).AddYears($secretExpiryYears)
      $newSecret = Add-MgApplicationPassword -ApplicationId $targetApp.Id -PasswordCredential @{
          DisplayName = $secretDescription
          EndDateTime = $endDate
      }

      # 输出密钥到Pipeline变量（标记为机密）
      Write-Host "##vso[task.setvariable variable=NewAppSecret;issecret=true]$($newSecret.SecretText)"
      Write-Host "新密钥已生成，值已存入变量NewAppSecret"
  displayName: 自动生成B2C应用密钥

3. 可选：将密钥存入Azure Key Vault #

若需将生成的密钥自动存入Key Vault，可添加以下任务：

- task: AzureKeyVault@2
  inputs:
    azureSubscription: '你的Azure服务连接'
    KeyVaultName: '你的Key Vault名称'
    SecretsFilter: '*'
    RunAsPreJob: false
- task: AzurePowerShell@5
  inputs:
    azureSubscription: '你的Azure服务连接'
    ScriptType: 'InlineScript'
    Inline: |
      $secretValue = ConvertTo-SecureString "$(NewAppSecret)" -AsPlainText -Force
      Set-AzKeyVaultSecret -VaultName "你的Key Vault名称" -Name "B2C-App-Secret" -SecretValue $secretValue
    azurePowerShellVersion: 'LatestVersion'
  displayName: 将新密钥存入Key Vault

关键注意事项 #

• 服务主体必须被授予Azure B2C租户的Application.ReadWrite.All权限（或应用管理员角色），否则会出现权限不足错误
• 生成的密钥值仅在创建时可见，务必及时保存或存入Key Vault
• 若需管理多个B2C租户，只需在脚本中切换tenantId和对应的服务主体凭证即可

内容的提问来源于stack exchange，提问作者Dave061