VS Code Azure扩展客户租户账号登录后资源不显示问题咨询

问题现状 #

• VS Code Azure扩展共登录3个账号：个人账号、所属公司账号、客户方账号
• 2024年4月前可正常通过该扩展向客户Azure租户部署Logic Apps，当前仅客户账号登录后扩展无任何资源展示，状态与未登录一致，其余两个账号资源加载正常
• 已尝试操作：多次执行账号登出后重新登录、卸载并重装相关Azure扩展，问题在Windows 11、Mac设备上均可稳定复现
• 权限校验结果：通过Azure Portal登录客户账号可正常查看所有相关资源，账号本身的资源访问权限未被回收
• 初步判断方向：客户IT部门重组重构Azure环境时配置的企业限制/策略，导致扩展侧资源拉取失败
• 现象参考：
  • 客户账号无资源显示：
  • 公司账号资源正常显示：

会触发该现象的已知租户策略配置 #

• 条件访问策略拦截非受信任客户端的ARM API调用：客户租户配置Azure AD条件访问规则，仅允许标记为受信任/合规的客户端调用Azure Resource Manager接口时，VS Code Azure扩展的默认客户端ID若未加入受信任客户端白名单，API请求会被静默拦截，表现为登录态看似有效但拉取不到任何资源。Azure Portal属于微软第一方受信任客户端，不受该规则影响。
• 租户级订阅枚举限制：客户租户开启Azure资源管理器租户范围访问限制，禁止外部来宾用户枚举租户下的订阅、资源组列表时，扩展默认的全租户资源枚举逻辑会直接返回空结果；Azure Portal会根据用户有权限的资源ID直接定向加载，不依赖全量枚举流程，因此可以正常展示资源。
• 设备合规/MFA校验流程缺失：客户租户接入第三方身份提供方做设备合规校验时，VS Code扩展的嵌入式登录流程不会触发合规校验弹窗，最终获取的访问令牌缺少合规声明，调用资源API时会被返回空结果而非403报错，扩展侧会判定为当前账号下无可用资源。

可执行的排查步骤 #

1. 打开VS Code命令面板，快捷键为Ctrl+Shift+P（Windows）/Cmd+Shift+P（Mac），执行Azure: Sign In to Azure Cloud操作时不要走默认公共租户发现流程，手动输入客户租户ID指定租户登录，排除租户发现失败导致的资源加载异常。
2. 打开VS Code输出面板，筛选日志源为Azure和Microsoft Account，切换到客户账号后手动触发资源刷新，查看日志中ARM接口调用的返回码：如果返回401 Unauthorized且带claims challenge字段，即为条件访问策略拦截；如果返回200 OK但返回体为空数组，即为订阅枚举权限被限制。
3. 登录客户租户Azure AD，进入企业应用程序-所有应用程序页面，搜索VS Code Azure扩展对应的应用IDaebc6443-996d-45c2-90f0-388ff96faa56，确认该应用在客户租户中未被管理员禁用，且当前使用的来宾账号拥有该应用的访问权限。
4. 若确认根因为条件访问策略拦截，可联系客户IT将上述VS Code Azure扩展的应用ID加入受信任客户端例外列表；临时使用可选择Azure: Sign In with Device Code设备码登录方式，该流程通过浏览器完成全量身份校验，可携带完整合规声明获取有效访问令牌。

内容的提问来源于stack exchange，提问作者DConroy