PowerShell Azure函数使用accessToken连接Azure认证失败咨询

你从x-ms-token-aad-access-token请求头拿到的令牌默认是AAD签发给函数应用自身的，令牌的受众（aud）声明是函数应用的客户端ID/应用ID URI，不是Azure资源管理器（ARM）的受众https://management.azure.com/。而Connect-AzAccount需要的是面向ARM的有效访问令牌，所以会直接返回认证失败错误。

完全可以，有两种成熟的实现路径：

• 调整函数内置AAD认证（Easy Auth）的登录参数：进入函数的身份验证配置页，编辑已添加的AAD身份提供程序，在登录参数项中添加resource=https://management.azure.com/，配置生效后，x-ms-token-aad-access-token头返回的就是ARM的访问令牌，可直接用于Az模块登录。

  注意：如果你的函数同时需要用默认令牌做自身服务的鉴权，不要修改全局默认登录参数，直接在函数代码里请求应用根路径下的/.auth/me端点，从返回的令牌列表中提取受众为ARM的访问令牌即可，不需要用户重新登录。

• 用OBO（代理流）申请令牌：给函数开启系统托管标识，授予托管标识ARM的user_impersonation委托权限，拿到请求头里的用户ID令牌后，用托管标识凭据代表用户兑换ARM的访问令牌，这种方式适合需要同时访问多个AAD保护资源的复杂场景。

你要以调用用户身份执行Azure操作的核心思路是对的，但现有实现缺了几个必要环节，无法直接跑通。

现有思路的必要修正点 #

• 必须确认传入Connect-AzAccount的访问令牌受众是ARM，而非函数自身资源
• 调用Connect-AzAccount时必须显式指定你的AAD租户ID，不要用默认的organizations参数，否则会出现租户解析失败的问题，修正后的命令如下：

Connect-AzAccount -AccessToken $armAccessToken -AccountId $accountId -TenantId "你的AAD租户ID"

• 提前给函数注册的AAD应用/托管标识授予ARM的user_impersonation委托权限，同时确保调用函数的用户本身对要操作的Azure资源有对应权限，否则就算令牌格式合法，也会返回403无权操作错误。

生产环境更推荐的落地方案 #

如果不需要用到Az模块的复杂cmdlet，不建议走Connect-AzAccount的登录流程，直接用拿到的ARM访问令牌调用ARM REST API即可：

• 不需要加载Az模块，PowerShell函数冷启动速度可以提升数秒，同时能避免Az模块版本兼容、执行上下文残留的问题
• 实现逻辑简单，直接把令牌放到Authorization请求头里，用Invoke-RestMethod调用对应接口即可，示例代码：

$authHeader = @{ Authorization = "Bearer $armAccessToken" }
# 示例：查询当前用户可访问的指定订阅下所有资源组
$resourceGroups = Invoke-RestMethod -Uri "https://management.azure.com/subscriptions/你的订阅ID/resourcegroups?api-version=2021-04-01" -Headers $authHeader -Method Get

如果必须用Az模块的cmdlet，按前面说的配置拿到正确的ARM令牌、补全租户参数后即可正常登录，操作上下文和用户手动在本地登录Az模块的身份完全一致，权限继承用户本身的Azure RBAC权限。

内容的提问来源于stack exchange，提问作者Meelamri