ARM内联部署脚本ObjectId无法输出至Azure门户问题排查

1. 核对脚本输出的格式 #

ARM内联PowerShell脚本不能直接输出ObjectId字符串，必须用Write-Output输出JSON键值对，否则ARM没法捕获输出。比如正确写法：

$objectId = (Get-AzADUser -UserPrincipalName "user@example.com").Id
Write-Output "{'objectId': '$objectId'}"

注意用单引号包裹整个JSON内容，避免PowerShell解析双引号时出问题，键名要和后续模板输出节的配置对应上。

2. 检查ARM模板的outputs节配置 #

必须在模板的outputs里明确引用部署脚本的输出值，示例如下：

"outputs": {
  "userObjectId": {
    "type": "string",
    "value": "[reference('getUserObjectId').outputs.objectId]"
  }
}

这里要注意两点：

• getUserObjectId要和你模板里部署脚本资源的name完全一致
• outputs.objectId要和脚本里输出的JSON键名完全匹配

3. 确认部署脚本资源的outputs属性 #

在部署脚本的资源定义中，必须通过outputs数组声明要捕获的键名，否则ARM不会收集这个输出：

"resources": [
  {
    "type": "Microsoft.Resources/deploymentScripts",
    "apiVersion": "2020-10-01",
    "name": "getUserObjectId",
    "location": "[resourceGroup().location]",
    "kind": "AzurePowerShell",
    "properties": {
      "azPowerShellVersion": "7.2",
      "scriptContent": "你的内联脚本代码",
      "outputs": [
        "objectId"
      ],
      "cleanupPreference": "OnSuccess",
      "retentionInterval": "P1D"
    }
  }
]

outputs数组里的objectId就是你要捕获的输出键，必须和脚本里的键名一致。

4. 验证脚本运行的身份权限 #

本地PowerShell用的是你的用户权限，但Azure部署脚本默认用系统托管身份运行，得确保这个身份有读取Azure AD用户的权限（比如User.Read.All或Directory.Read.All）。如果权限不够，脚本可能拿不到ObjectId，自然没输出。可以在脚本资源里配置系统身份：

"identity": {
  "type": "SystemAssigned"
}

然后给这个身份分配对应的Azure AD权限。

5. 查看脚本执行日志 #

如果前面都没问题，去Azure门户找到你的部署脚本资源，打开执行日志，看看脚本有没有报错，或者输出的内容是不是符合预期。比如脚本里获取ObjectId时返回空，或者输出格式不对，都会导致门户看不到输出。

内容的提问来源于stack exchange，提问作者Joshua Martin