AzureUSGovernment/GCCH环境执行Set-AzSentinel报404错误排查

• 默认Az模块上下文指向Azure商用公有云。Set-AzSentinel属于Az.SecurityInsights模块的cmdlet，默认会读取当前Az上下文的环境端点配置，如果执行脚本前没有显式指定连接AzureUSGovernment（GCC High）环境，cmdlet会默认向商用云的ARM端点发起请求，自然找不到GCCH环境内的工作区资源，返回404。
• 低版本Az.SecurityInsights模块存在主权云适配缺陷。1.2.0以下版本的Set-AzSentinelcmdlet硬编码了商用云的Sentinel资源路径，没有做主权云的端点映射，即便手动切换了Az环境，依然会向商用云地址发起请求。
• 跨环境上下文缓存污染。如果同一个PowerShell会话中之前登录过商用云租户，残留的上下文缓存会覆盖新登录的GCCH环境配置，导致请求发往错误端点。

• 清理现有Az会话上下文，显式连接GCC High环境
  先执行以下命令清空所有登录态，再指定环境重新登录：

  Disconnect-AzAccount -Confirm:$false
  # 显式指定连接GCC High（AzureUSGovernment）环境
  Connect-AzAccount -Environment AzureUSGovernment
  

  登录完成后执行Get-AzContext | Select-Object Name, Environment验证，确认返回的Environment值为AzureUSGovernment，避免登错环境。
• 升级Az.SecurityInsights模块到适配主权云的版本
  先卸载所有旧版本模块避免版本冲突，再安装1.3.0及以上的稳定版本，该版本已修复主权云端点硬编码的问题：

  Uninstall-Module -Name Az.SecurityInsights -AllVersions -Force -ErrorAction SilentlyContinue
  Install-Module -Name Az.SecurityInsights -MinimumVersion 1.3.0 -Force -AllowClobber
  

• 确认资源提供程序注册状态
  GCCH环境下Sentinel依赖的两个资源提供程序需要手动确认注册完成，执行以下命令注册并验证状态：

  Register-AzResourceProvider -ProviderNamespace Microsoft.OperationsManagement
  Register-AzResourceProvider -ProviderNamespace Microsoft.SecurityInsights
  # 等待1-2分钟后执行验证，返回的RegistrationState为Registered即正常
  Get-AzResourceProvider -ProviderNamespace Microsoft.SecurityInsights
  

• 调整原脚本的Set-AzSentinel调用逻辑
  给cmdlet显式传入当前GCCH环境的ARM端点，避免隐式读取上下文出错，替换原第17行代码为：

  $currentArmEndpoint = (Get-AzContext).Environment.ResourceManagerUrl
  Set-AzSentinel -SubscriptionId $subscriptionId -WorkspaceName $workspaceName.Name -Confirm:$true -DefaultProfile @{ResourceManagerUrl = $currentArmEndpoint}
  

注意：跨环境操作时不要复用PowerShell会话，避免上下文污染。如果执行完以上步骤依然返回404，直接关闭当前PowerShell窗口重新打开，从头执行登录、模块加载、脚本运行流程即可，绝大多数残留缓存导致的端点错误都可以通过重开会话解决。

内容的提问来源于stack exchange，提问作者rk3