如何获取当前Azure DevOps发布管道服务主体的ObjectId？

以下是几种无需手动传入变量的解决方案：

方法1：通过az account show直接提取 #

当Azure CLI以服务主体身份登录时，az account show返回的user.id字段就是该服务主体的ObjectId。执行以下命令即可获取：

$spObjectId = az account show --query user.id -o tsv

该方式依赖当前登录会话信息，无需额外AD权限，不会触发你遇到的查询限制问题。

方法2：调用Microsoft Graph API（需配置权限） #

如果需要更灵活的查询，可利用管道中的访问令牌调用Microsoft Graph API：

1. 获取Graph API访问令牌：

$token = az account get-access-token --resource https://graph.microsoft.com --query accessToken -o tsv

2. 查询对应AppId的服务主体：

$spResponse = Invoke-RestMethod -Uri "https://graph.microsoft.com/v1.0/servicePrincipals?`$filter=appId eq '$env:servicePrincipalId'" -Headers @{Authorization = "Bearer $token"}
$spObjectId = $spResponse.value[0].id

注意：需为当前服务主体分配Microsoft Graph的Application.Read.All或Directory.Read.All应用权限，否则会返回权限不足错误。

方法3：直接使用Azure DevOps预定义变量 #

Azure DevOps提供了预定义变量$(servicePrincipalObjectId)，可直接在管道任务中引用，无需任何查询命令：

$spObjectId = "$(servicePrincipalObjectId)"

这是最简便的方案，适用于大多数Azure DevOps管道场景。

内容的提问来源于stack exchange，提问作者iqoOopi