如何通过Azure Function安全远程执行Azure Windows VM上的.bat文件？

推荐直接使用Azure Run Command（Invoke-AzVMRunCommand），这是适配你场景的最优选择，核心优势：

• 原生集成Azure生态，无需为VM开放RDP/SSH等公网端口，安全性更高
• 依托Azure API实现调用，Azure Function可轻松对接（支持PowerShell、Python、C#等多种语言）
• 自带执行日志与结果捕获能力，问题排查成本低
• 无需在VM上部署额外代理或服务，零额外维护负担

具体实现（以PowerShell Function为例） #

1. 为Azure Function的托管标识分配虚拟机运行命令操作员或虚拟机参与者角色，确保其拥有操作目标VM的权限
2. 编写Function执行代码：

param($Request, $TriggerMetadata)

# 替换为你的资源组与VM名称
$resourceGroupName = "your-resource-group"
$vmName = "your-vm-name"
# bat文件在VM中的绝对路径
$batFilePath = "C:\scripts\your-target-script.bat"

try {
    # 调用Run Command执行bat脚本
    $executionResult = Invoke-AzVMRunCommand -ResourceGroupName $resourceGroupName `
                                              -VMName $vmName `
                                              -CommandId "RunPowerShellScript" `
                                              -ScriptString "& '$batFilePath'"

    # 返回成功响应
    Push-OutputBinding -Name Response -Value ([HttpResponseContext]@{
        StatusCode = 200
        Body = "执行成功，输出：`n$($executionResult.Value[0].Message)"
    })
}
catch {
    # 返回错误信息
    Push-OutputBinding -Name Response -Value ([HttpResponseContext]@{
        StatusCode = 500
        Body = "执行失败：$($_.Exception.Message)"
    })
}

其他方案的局限性 #

• RDP/SSH远程执行：需开放VM公网端口，存在安全风险；且需在Function中存储身份凭证，管理复杂度高
• Azure Automation Runbook：多了一层服务依赖，配置流程繁琐，更适合批量或复杂自动化场景，单触发bat脚本没必要
• VM上部署自定义Web API：需自行开发维护API服务，还要保证VM高可用，额外成本与负担过重

关键注意事项 #

• 若bat脚本需要管理员权限，将代码中的& '$batFilePath'替换为Start-Process -FilePath "$batFilePath" -Verb RunAs -Wait，-Wait参数确保脚本执行完成后再返回结果
• 目标VM必须处于运行状态，否则Run Command无法执行
• 可先在Azure门户的VM「运行命令」菜单中测试脚本，确认正常执行后再迁移至Function

内容的提问来源于stack exchange，提问作者Buzz