如何在Azure DevOps Pipeline的PowerShell中捕获权限不足错误？

Azure CLI的错误信息默认输出到标准错误流（stderr），而你直接用()捕获的是标准输出流（stdout），所以权限不足的错误信息没被存入$res，导致变量为空。以下是几种可行的错误捕获方法：

方法1：重定向错误流+检查退出码 #

通过2>&1将stderr重定向到stdout，同时用$LASTEXITCODE获取命令的退出状态（非0表示执行失败）：

$groupName = "ABC"
# 重定向错误流到输出流，捕获所有输出
$res = az ad group list --display-name $groupName 2>&1
# 获取命令退出码
$exitCode = $LASTEXITCODE

if ($exitCode -ne 0) {
    Write-Host "执行出错：$res"
    # 可根据需求抛出异常或终止脚本
    throw "Azure CLI操作失败：$res"
} else {
    Write-Host "Response: $res"
}

方法2：结合try/catch与错误动作设置 #

先将$ErrorActionPreference设为Stop，让CLI的非终止错误转为终止错误，再用try/catch捕获：

$groupName = "ABC"
# 临时设置错误动作，将非终止错误转为终止错误
$originalErrorAction = $ErrorActionPreference
$ErrorActionPreference = "Stop"

try {
    # 重定向错误流，确保错误能被捕获
    $res = az ad group list --display-name $groupName 2>&1
    Write-Host "Response: $res"
} catch {
    Write-Host "捕获到错误：$_"
    # 如需更详细信息，可访问$_.Exception.Message
} finally {
    # 恢复原始错误动作设置
    $ErrorActionPreference = $originalErrorAction
}

方法3：直接分离捕获stdout和stderr #

使用.NET的Process类分别捕获标准输出和错误输出，适合需要区分两类输出的场景：

$groupName = "ABC"
$processStartInfo = [System.Diagnostics.ProcessStartInfo]@{
    FileName               = "az"
    Arguments              = "ad group list --display-name $groupName"
    RedirectStandardOutput = $true
    RedirectStandardError  = $true
    UseShellExecute        = $false
    CreateNoWindow         = $true
}

$process = New-Object System.Diagnostics.Process
$process.StartInfo = $processStartInfo
$process.Start() | Out-Null

$stdout = $process.StandardOutput.ReadToEnd()
$stderr = $process.StandardError.ReadToEnd()
$process.WaitForExit()

if ($process.ExitCode -ne 0) {
    Write-Host "错误信息：$stderr"
} else {
    Write-Host "Response: $stdout"
}

另外补充：你遇到的权限不足问题，需要在Azure AD中给服务主体分配Directory Readers角色或对应的组读取权限，才能正常执行az ad group list命令。

内容的提问来源于stack exchange，提问作者knowdotnet