已分配系统托管标识的VM中如何用pwsh实现az login -identity功能

• Az.Accounts 模块默认请求托管标识令牌时，会优先尝试organizations通用租户的验证端点，无匹配配置才会回退到VM本地的实例元数据服务(IMDS)端点。默认的IMDS连接超时仅为1秒，首次请求极易触发超时抛出错误。
• 第二次执行命令时模块已经缓存了IMDS端点的可用状态，跳过了通用租户端点的探测逻辑，因此可以正常完成验证。

1. 明确指定租户ID参数 #

执行登录命令时直接传入你的Azure租户ID，避免模块自动探测通用租户端点：

Connect-AzAccount -Identity -TenantId <实际租户ID>

如果你的VM同时配置了系统分配和用户分配两类托管标识，还需要额外加上-AccountId <系统分配托管标识的客户端ID>参数，明确指定使用系统分配标识

2. 调整IMDS超时和重试配置 #

针对Az.Accounts v2.10.0及以上版本，可以在执行登录命令前调整环境变量，避免首次请求超时：

# 将IMDS连接超时调整为3秒，默认值为1秒
$env:AZURE_PS_IMDS_CONNECTION_TIMEOUT = 3
# 将IMDS最大重试次数调整为2次，默认值为1次
$env:AZURE_PS_IMDS_MAX_RETRY = 2

# 配置完成后再执行登录
Connect-AzAccount -Identity

3. 升级Az.Accounts到最新版本 #

旧版本Az.Accounts模块的托管标识探测逻辑存在已知bug，升级到最新版本可直接修复绝大多数偶发的首次登录失败问题：

Update-Module Az.Accounts -Force

4. 脚本场景增加重试逻辑兜底 #

如果是自动化脚本中使用，可以增加轻量重试逻辑，避免偶发超时影响脚本执行：

$retryCount = 0
$loginSucceeded = $false
while (-not $loginSucceeded -and $retryCount -lt 3) {
    try {
        Connect-AzAccount -Identity -ErrorAction Stop | Out-Null
        $loginSucceeded = $true
    }
    catch {
        $retryCount++
        Start-Sleep -Milliseconds 300
    }
}
if (-not $loginSucceeded) {
    throw "托管标识登录多次尝试失败，请检查VM托管标识配置"
}

内容的提问来源于stack exchange，提问作者Elliott de Launay