Azure DevOps项目Pipeline运行报AKV10032: Invalid issuer错误

DevOps 小满

2026-8-26

问题根因

报错中返回的无效issuer https://sts.windows.net/72f988bf-86f1-41af-91ab-2d7cd011db47/ 对应微软Azure DevOps托管代理池所属的全局服务租户，和你KeyVault访问策略允许的租户列表不匹配，直接触发401未授权。
该问题属于Azure Identity库默认凭据链优先级更新导致的兼容性问题，和你现有服务连接、PAT、KeyVault配置、本地代码逻辑均无关：

AzureCLI@2任务开启addSpnToEnvironment: true后，会将服务关联的SPN凭据注入脚本环境变量，但不会自动把该凭据传递给后续启动的dotnet子进程
近期微软托管代理镜像更新后，代理本身的系统分配托管标识被加入到默认凭据可读取范围，dotnet项目中使用的DefaultAzureCredential类会按优先级读取凭据，优先命中了代理自带的托管标识，而非你预期的Azure CLI登录身份/服务连接SPN身份
之前的排查项未命中问题的原因：
- 直接在Pipeline中用Azure CLI访问KeyVault正常，是因为Azure CLI进程本身用的是服务连接配置的合法身份，未走代理托管标识
- 本地运行代码正常，是因为本地环境不存在DevOps代理的托管标识，凭据链会正确读取你本地登录的Azure身份
- 服务连接、PAT、订阅设置配置均无错误，问题出在dotnet进程的凭据读取链路拿到了非预期的身份

解决方案

按优先级选择以下方案即可修复：

最快修复方案：在执行dotnet命令前，显式注入服务连接的SPN凭据为环境变量，强制dotnet进程的Azure Identity库读取合法身份，同时跳过托管标识凭据加载，修改后的任务配置如下：

- task: AzureCLI@2
  displayName: 'Cake Build with Azure CLI and Dotnet'
  inputs:
    scriptType: bash
    scriptLocation: inlineScript
    azureSubscription: 'Found-TEST'
    addSpnToEnvironment: true
    inlineScript: |
      az account set -s "XXXX-XXXXX-XXXXXX-"
      # 注入服务连接对应的SPN凭据为Azure Identity默认读取的环境变量
      export AZURE_CLIENT_ID=$servicePrincipalId
      export AZURE_CLIENT_SECRET=$servicePrincipalKey
      export AZURE_TENANT_ID=$tenantId
      # 禁用托管标识凭据读取，避免命中代理自带的系统身份
      export AZURE_SKIP_MANAGED_IDENTITY_CREDENTIAL=true
      dotnet run --project ${{parameters.project}}

代码层修复：修改dotnet项目中KeyVault的凭据初始化逻辑，不使用无参的DefaultAzureCredential，显式指定凭据源，排除托管标识选项，示例代码如下：

var credential = new DefaultAzureCredential(new DefaultAzureCredentialOptions
{
    ExcludeManagedIdentityCredential = true
});

临时规避方案：在执行dotnet命令前执行az logout清空代理上残留的非服务连接身份缓存，同时在az account set后追加--tenant 你的租户ID参数，强制Azure CLI上下文绑定到正确租户。

修复后可先在dotnet run前执行az account get-access-token --resource https://vault.azure.net，检查返回token的issuer字段是否属于你自己的租户，确认身份正确后再跑构建流程。

内容的提问来源于stack exchange，提问作者Ratheesh