创建关联网络资源的Azure Batch池报SharedKey认证不允许错误

问题现象 #

创建带私有网络配置的Azure Batch池、执行作业提交操作时触发认证失败异常：

• 异常类型：Microsoft.Azure.Batch.Protocol.Models.ErrorMessage - AuthenticationFailed
• 错误详情：AuthenticationErrorDetail: The specified type of authentication SharedKey is not allowed when external resources of type Network are linked，即关联Network类型外部资源时，不允许使用SharedKey认证类型

相关实现代码如下：

BatchClient bClient = BatchClient.Open(new BatchSharedKeyCredentials(batchUri, accountName, accountKey));
PoolSpecification poolSp = new PoolSpecification();
poolSp.NetworkConfiguration = new NetworkConfiguration
{
    SubnetId = "/subscriptions/{0}/resourceGroups/{1}/providers/{2}/virtualNetworks/{3}/subnets/{4}"
};

触发异常的代码行：

await job.CommitAsync();

根本原因 #

该报错是Azure Batch的强制安全限制导致：
当Batch池配置关联VNet子网这类由Azure资源管理器（ARM）托管的外部网络资源时，Batch服务需要校验调用方对目标网络资源的操作权限。而SharedKey（账户共享密钥）是Batch账户层面的本地认证方式，仅能验证调用方对Batch账户本身的访问权限，不具备跨ARM资源的权限校验能力，因此会被服务端直接拦截请求。

解决步骤 #

• 替换认证方式
  弃用BatchSharedKeyCredentials，改用Azure Active Directory（AAD）认证初始化BatchClient。AAD认证签发的令牌可同时携带Batch账户操作权限、目标VNet资源访问权限，满足跨资源访问的认证要求。
• 提前配置对应权限
  确保用于认证的AAD主体（服务主体、用户账号、托管标识）已经分配以下两类权限：
  • 目标Batch账户的对应操作权限（最小权限可按需分配，测试环境可直接分配Batch账户参与者角色）
  • 目标VNet子网的Microsoft.Network/virtualNetworks/subnets/join/action权限（可通过网络参与者、虚拟机参与者内置角色分配，也可通过自定义角色按需授予最小权限）
• 修正后认证参考代码
  先引入Azure.Identity官方AAD认证组件，再按如下方式初始化客户端：

  using Azure.Identity;
  
  var credential = new DefaultAzureCredential();
  BatchClient bClient = BatchClient.Open(
      new BatchTokenCredentials(
          batchAccountEndpoint: batchUri,
          tokenProvider: () => credential
              .GetToken(new Azure.Core.TokenRequestContext(new[] { "https://batch.core.windows.net/.default" }))
              .Token
      )
  );
  
  // 后续池网络配置、作业提交逻辑无需修改
  PoolSpecification poolSp = new PoolSpecification();
  poolSp.NetworkConfiguration = new NetworkConfiguration
  {
      SubnetId = "/subscriptions/{0}/resourceGroups/{1}/providers/{2}/virtualNetworks/{3}/subnets/{4}"
  };
  

提示：如果代码运行在Azure托管环境中（Azure虚拟机、函数应用、应用服务、AKS等），优先使用系统/用户分配托管标识做认证，无需手动配置客户端密钥，安全性更高。

内容的提问来源于stack exchange，提问作者N Krishnia