使用Bicep文件运行Azure Pipeline失败：Bicep CLI下载403错误

使用Azure Pipeline运行Bicep文件部署时，持续报错：

ERROR: Error while attempting to download Bicep CLI: <urlopen error Tunnel connection failed: 403 Forbidden>

本地通过az cli执行相同操作正常，但Pipeline中失败。使用的Pipeline配置如下：

trigger: none

pool: poolname

variables:
  - name: deploymentDefaultLocation
    value: eastus2

steps:
- task: AzureResourceManagerTemplateDeployment@3
  inputs:
    connectedServiceName: JNF-NPRD-SC-31305-JNF-CNF-DEV22
    deploymentName: $(Build.BuildNumber)
    location: $(deploymentDefaultLocation)
    resourceGroupName: $(ResourceGroupName)
    csmFile: deploy/main.bicep
    overrideParameters: >
      -environmentType $(EnvironmentType)
      -deployjnfcManualsStorageAccount $(DeployjnfcManualsStorageAccount)

可能的解决办法 #

1. 检查代理配置 #

Pipeline使用的自托管代理（poolname）可能未正确配置代理，导致无法访问Bicep CLI下载地址。对比本地az cli的代理设置，确保代理服务器地址、端口、认证信息已在代理机器的环境变量或az cli配置中正确设置：

• 在代理机器上执行：az configure --defaults proxy=http://<代理地址>:<端口>（需认证的话追加--proxy-username <用户名> --proxy-password <密码>）
• 或设置系统环境变量HTTP_PROXY、HTTPS_PROXY，填入正确的代理地址及认证信息

2. 手动预安装Bicep CLI到代理机器 #

跳过Pipeline自动下载步骤，直接在代理机器上安装Bicep CLI：

• 执行安装命令：az bicep install
• 验证安装：az bicep version
  后续Pipeline运行时会直接使用已安装的Bicep CLI，无需再下载

3. 检查防火墙/网络策略 #

确认代理机器所在网络的防火墙、企业安全策略允许访问Bicep CLI下载源（通常为https://github.com/Azure/bicep/releases），避免403拦截

4. 切换为微软托管代理 #

如果自托管代理的网络配置难以调整，可尝试将Pipeline的pool改为微软托管代理（如pool: 'Azure Pipelines'），这类代理默认具备正常网络访问权限，不会出现代理拦截问题

内容的提问来源于stack exchange，提问作者Sudeep Batra