仅Web应用中C#调用PowerShell连接AzureAD失败问题

问题根因 #

该报错核心原因是Web应用的运行上下文与控制台应用存在差异，AzureAD认证模块在无用户配置、权限不足或者网络受限的IIS上下文下运行时会触发空引用异常，具体解决方案如下：

修复方案 #

• 配置IIS应用池加载用户配置文件 #

  AzureAD认证模块依赖用户配置目录存储临时认证缓存，IIS默认不加载应用池的用户配置文件会导致模块初始化失败，操作步骤：

  1. 打开IIS管理器，找到站点对应的应用池
  2. 右键选择「高级设置」，在「进程模型」分类下找到「加载用户配置文件」，设置为True
  3. 重启应用池和站点后重试

• 校验应用池权限与身份 #

  1. 确认应用池运行身份对C:\PowerShellModules路径有读取、执行权限，如果使用默认的ApplicationPoolIdentity身份，需要给虚拟账号IIS AppPool\你的应用池名称分配对应路径的权限
  2. 如果你的AzureAD账号需要域权限才能访问，建议将应用池运行身份更换为有权限的自定义服务账号

• 补全Connect-AzureAD参数 #

  当前代码未指定Azure环境，模块自动探测环境在Web上下文下容易失败，手动指定环境参数即可，修改脚本行：

  powershell.AddScript("Connect-AzureAD -Credential $Credential -Environment AzureCloud -Verbose");
  

  如果你使用的是世纪互联等非公有云环境，替换AzureCloud为对应环境标识即可。

• 配置网络与代理 #

  1. 确认Web服务器可以正常访问AzureAD端点login.microsoftonline.com，没有防火墙、安全组拦截
  2. 如果服务器需要走代理访问公网，在导入模块之后、连接AzureAD之前添加代理配置脚本：

  powershell.AddScript("[System.Net.WebRequest]::DefaultWebProxy = New-Object System.Net.WebProxy('http://你的代理地址:端口',$true)");
  powershell.AddScript("[System.Net.WebRequest]::DefaultWebProxy.Credentials = [System.Net.CredentialCache]::DefaultCredentials");
  

• 校验位数匹配 #

  确认你的AzureAD模块位数与应用池配置一致：如果安装的是64位AzureAD模块，需要在应用池高级设置中将「启用32位应用程序」设置为False，反之则设置为True。

另外注意当前代码中ConvertTo-SecureString行的单引号和-AsPlainText之间缺少空格，控制台运行时可能自动兼容，但Web上下文下可能触发语法错误，建议补全空格：

powershell.AddScript("$Password = ConvertTo-SecureString '" + loginPwd + "' -AsPlainText -Force -Verbose");

内容的提问来源于stack exchange，提问作者HuTieu