Azure日志中ObjectID转DisplayName PowerShell脚本报错

在配置Azure平台新建账户识别类告警规则时，需要将日志中记录的ObjectID映射为对应用户的显示名称（DisplayName），编写的PowerShell脚本运行异常，错误持续出现在请求体字段解析环节。

$responseBodyObject = ConvertFrom-Json $_.Properties.Content.responseBody
$principalId = $responseBodyObject.properties.principalId
Write-Host "PrincipalID: $($principalId)"
$azUser = Get-AzADUser -ObjectId $principalId
Write-Host "User: $($azUser.DisplayName)"

Get-AzADUser : Cannot bind argument to parameter 'ObjectId' because it is an empty string.
At C:\xxxx\xxxx\xxxxx\xxxxxx.ps1:33 char:36
+         $azUser = Get-AzADUser -ObjectId $principalId
+                                          ~~~~~~~~~~~~
    + CategoryInfo          : InvalidData: (:) [Get-AzADUser], ParameterBindingValidationException
    + FullyQualifiedErrorId : ParameterArgumentValidationErrorEmptyStringNotAllowed,Get-AzADUser

报错核心原因：传入Get-AzADUser命令的ObjectId参数为空字符串，触发参数绑定验证异常。

• 先确认响应体的实际字段结构，不要靠预设路径取值。Azure不同类别的操作日志响应体层级差异极大，principalId不一定存放在.properties.principalId路径下，常见的正确路径包括$responseBodyObject.PrincipalId、$responseBodyObject.properties.initiatedBy.user.id等。调试时可在JSON解析完成后加$responseBodyObject | ConvertTo-Json -Depth 10打印完整结构，定位ID字段的真实路径。
• 增加空值校验逻辑，避免空值直接传入命令触发参数绑定错误。提取到ID后先判断值是否为有效非空字符串，再执行AD用户查询。
• 注意区分主体类型：如果日志记录的ID属于服务主体（Service Principal）而非用户账号，Get-AzADUser无法查询到对应结果，需要改用Get-AzADServicePrincipal查询主体信息。

$responseBodyObject = ConvertFrom-Json $_.Properties.Content.responseBody
# 调试阶段打印完整响应体定位字段路径，确认后可注释该行
$responseBodyObject | ConvertTo-Json -Depth 10 | Write-Host

# 替换为日志中principalId的实际路径
$principalId = $responseBodyObject.properties.initiatedBy.user.id
Write-Host "PrincipalID: $($principalId)"

if (-not [string]::IsNullOrWhiteSpace($principalId)) {
    $azUser = Get-AzADUser -ObjectId $principalId -ErrorAction SilentlyContinue
    if ($azUser) {
        Write-Host "User: $($azUser.DisplayName)"
    } else {
        # 尝试查询服务主体
        $azSp = Get-AzADServicePrincipal -ObjectId $principalId -ErrorAction SilentlyContinue
        if ($azSp) {
            Write-Host "Service Principal: $($azSp.DisplayName)"
        } else {
            Write-Host "当前ID无法匹配到对应的AD主体"
        }
    }
} else {
    Write-Host "当前日志条目未解析到有效主体ID，跳过查询"
}

内容的提问来源于stack exchange，提问作者NewBee