创建Azure虚拟机自动化启停任务执行时出现401未授权错误如何处理

错误根因 #

报错返回的InvalidAuthenticationTokenTenant错误码明确指向租户不匹配问题：你创建自动化任务时获取的身份令牌，所属租户ID为f8cdef31-a31e-4b4a-93e4-5f571e91255a，但当前虚拟机所属订阅绑定的租户ID为a23894c2-33fb-4084-b7fd-7dc06bdd042e，两者不一致导致鉴权被拒绝。
完整错误描述翻译如下：

访问令牌来自错误的颁发者https://sts.windows.net/f8cdef31-a31e-4b4a-93e4-5f571e91255a/，必须与该订阅关联的租户https://sts.windows.net/a23894c2-33fb-4084-b7fd-7dc06bdd042e/匹配。请使用授权地址https://login.windows.net/a23894c2-33fb-4084-b7fd-7dc06bdd042e获取令牌。如果订阅刚被转移到其他租户，不会影响服务运行，但新租户的信息最多需要1小时完成全局传播，刚完成转移遇到该错误可稍后重试。

修复步骤 #

• 确认订阅所属租户：进入Azure门户→「订阅」→选中对应虚拟机所在的订阅，查看「概述」页的「目录ID」字段，确认是否为a23894c2-33fb-4084-b7fd-7dc06bdd042e
• 切换至正确租户操作：点击Azure门户右上角的账户头像，在目录切换列表中选择订阅绑定的租户目录，完成切换后再进行后续操作
• 重新创建自动化任务：在正确租户目录下，重新走virtual machine -> automation -> task路径创建虚拟机启动、取消分配（deallocate）任务，任务会自动继承当前租户的鉴权身份
• 订阅转移场景处理：如果近期刚完成该订阅的租户转移操作，先等待1小时让租户信息完成全局同步后再重试
• 校验托管身份权限：如果任务配置了托管身份运行，确认托管身份属于正确租户，且被授予了目标虚拟机的「虚拟机参与者」及以上操作权限

内容的提问来源于stack exchange，提问作者user3795398