GitHub Action中azure/login动作执行登录Azure失败问题咨询

方案1：手动构造兼容旧格式的凭证JSON #

你可以直接将Azure CLI新输出的字段做映射，同时补充缺失的订阅ID字段，构造出azure/login@v1.4.0可识别的凭证结构：

• 字段映射关系：
  • appId → clientId
  • password → clientSecret
  • tenant → tenantId
  • 额外补充你Azure账号对应的subscriptionId字段
    构造完成后的JSON示例如下：

{
    "clientId": "你的appId值",
    "clientSecret": "你的password值",
    "tenantId": "你的tenant值",
    "subscriptionId": "你的Azure订阅ID"
}

将上述构造好的JSON内容存入GitHub仓库的AZURE_CREDENTIALS密钥即可正常使用原有登录配置。

方案2：拆分参数配置（无需构造JSON） #

如果不想手动处理JSON结构，可以将凭证各字段单独存为GitHub仓库密钥，直接传入azure/login动作的对应参数，适配所有版本的登录动作：
首先将以下内容分别存入GitHub Secrets：

• AZURE_CLIENT_ID：对应appId的值
• AZURE_CLIENT_SECRET：对应password的值
• AZURE_TENANT_ID：对应tenant的值
• AZURE_SUBSCRIPTION_ID：你的Azure订阅ID
  然后修改GitHub Action的登录配置为：

- name: Azure Login
  uses: azure/login@v1.4.0
  with:
    client-id: ${{ secrets.AZURE_CLIENT_ID }}
    tenant-id: ${{ secrets.AZURE_TENANT_ID }}
    subscription-id: ${{ secrets.AZURE_SUBSCRIPTION_ID }}
    client-secret: ${{ secrets.AZURE_CLIENT_SECRET }}

该配置方式不受Azure CLI输出格式变更影响，后续维护更简单。

方案3：联邦凭证（无密钥配置，修复之前配置失败问题） #

如果要使用更安全的无密钥联邦凭证，需要按以下规则配置：

1. 在Azure AD应用注册的「证书和机密」-「联合凭据」中添加GitHub作为身份提供商，配置对应仓库、分支/环境/标签的访问规则
2. 无需存储client-secret到GitHub Secrets，仅需存储AZURE_CLIENT_ID、AZURE_TENANT_ID、AZURE_SUBSCRIPTION_ID三个字段
3. 修改登录配置为：

- name: Azure Login
  uses: azure/login@v1.4.0
  with:
    client-id: ${{ secrets.AZURE_CLIENT_ID }}
    tenant-id: ${{ secrets.AZURE_TENANT_ID }}
    subscription-id: ${{ secrets.AZURE_SUBSCRIPTION_ID }}

注意必须保证Azure端联邦凭据的发行者、主题声明和GitHub Action运行的上下文完全匹配，否则会登录失败。

常见排查点 #

• 确认服务主体对目标订阅有对应权限（至少contributor角色）
• 确认GitHub Secrets的内容没有多余的空格、换行符
• 若使用联邦凭证，可开启GitHub Action的调试日志，查看声明不匹配的具体提示

内容的提问来源于stack exchange，提问作者Eduard Keilholz