Azure ArmClient个人账户登录无法查询关联订阅的问题

使用个人账户触发交互式浏览器认证时，Azure Identity 库默认走 common 租户端点完成令牌签发，不会自动路由到订阅实际归属的个人 Azure AD 租户，导致令牌携带的租户上下文和订阅所属租户不匹配，无法查询到对应租户下的订阅资源。工作账户绑定固定组织租户，默认认证流程可自动命中对应租户，因此不会出现该问题。

方案1：已知订阅所属租户ID（简单场景推荐） #

你已经通过 az account list --all 拿到了订阅对应的正确租户ID，直接在认证配置中显式指定该租户ID即可，两种常用认证方式的配置如下：

• 使用 DefaultAzureCredential 时：

// 替换为az account list返回的订阅对应tenantId字段值
var targetTenantId = "xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx";
var authOptions = new DefaultAzureCredentialOptions
{
    // 原有排除其他认证源的配置保持不变
    ExcludeEnvironmentCredential = true,
    ExcludeAzureCliCredential = true,
    ExcludeAzurePowerShellCredential = true,
    ExcludeManagedIdentityCredential = true,
    ExcludeSharedTokenCacheCredential = true,
    ExcludeVisualStudioCodeCredential = true,
    ExcludeVisualStudioCredential = true,
    ExcludeInteractiveBrowserCredential = false,
    // 显式指定交互式认证使用的租户ID
    InteractiveBrowserCredentialTenantId = targetTenantId
};

var armClient = new ArmClient(new DefaultAzureCredential(authOptions));
// 此时即可正常拉取到该租户下的所有订阅
var subs = armClient.GetSubscriptions().ToList();

• 直接使用 InteractiveBrowserCredential 时：

var targetTenantId = "xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx";
var credOptions = new InteractiveBrowserCredentialOptions
{
    TenantId = targetTenantId,
    Diagnostics = { IsAccountIdentifierLoggingEnabled = true }
};
var armClient = new ArmClient(new InteractiveBrowserCredential(credOptions));
var defSub = armClient.GetDefaultSubscription(); // 不再抛出找不到订阅的异常

方案2：动态拉取账号所有可访问订阅（适配多租户/个人账户场景） #

如果需要支持用户选择任意有权限的订阅，不需要提前硬编码租户ID，可以先通过通用租户认证拉取所有可访问的租户列表，再逐个租户查询对应订阅，避免租户不匹配导致的漏查：

// 先通过common端点完成基础认证
var commonCredential = new InteractiveBrowserCredential(new InteractiveBrowserCredentialOptions
{
    TenantId = "common"
});
var commonClient = new ArmClient(commonCredential);
var allAccessibleSubscriptions = new List<Azure.ResourceManager.Resources.SubscriptionResource>();

// 遍历当前账号所有有权限访问的租户
await foreach (var tenant in commonClient.GetTenants().GetAllAsync())
{
    var tenantIdStr = tenant.Data.TenantId.Value.ToString();
    // 为每个租户创建上下文匹配的客户端
    var tenantCredential = new InteractiveBrowserCredential(new InteractiveBrowserCredentialOptions
    {
        TenantId = tenantIdStr
    });
    var tenantClient = new ArmClient(tenantCredential, tenantIdStr);
    // 拉取该租户下的所有订阅
    await foreach (var subscription in tenantClient.GetSubscriptions().GetAllAsync())
    {
        allAccessibleSubscriptions.Add(subscription);
    }
}

补充说明：个人账户认证时如果弹出“需要管理员同意”的提示，属于个人Azure AD目录的默认权限提示，当前登录账号本身就是个人目录的全局管理员，直接同意授权即可正常使用，不存在额外的权限配置问题。

内容的提问来源于stack exchange，提问作者Tom Wright