如何在自建GitLab配置CD将.NET Core应用发布到Azure App Service并解决az login报错

根本原因分析 #

你遇到的az login报错400、本地可运行CI环境失败的核心原因有两个：

1. 用户名密码登录方式不支持非交互CI场景：如果你的Azure账号开启了多因素认证（MFA）、或是个人微软账户（Outlook/Hotmail等），仅能在本地交互环境登录，无法在无UI的CI流水线中完成认证
2. 你当前使用的.NET Core 3.1 SDK官方镜像默认未预装Azure CLI，且你注释了CLI安装脚本，安装时错误调用PowerShell（Linux镜像无默认PowerShell环境）也会导致命令异常

推荐解决方案 #

1. 改用服务主账号（Service Principal）完成非交互登录（生产级标准方案） #

这是Azure官方推荐的CI/CD场景认证方案，完全规避用户名密码登录的限制：

• 本地已登录Azure CLI的环境中执行以下命令创建部署专用服务主账号：

az ad sp create-for-rbac --name gitlab-cd-deploy --role contributor --scopes /subscriptions/<你的Azure订阅ID>/resourceGroups/<你的资源组名称>

执行后会返回appId、password、tenant三个参数，将三个参数分别添加到GitLab项目的「设置- CI/CD - 变量」中，命名为AZURE_CLIENT_ID、AZURE_CLIENT_SECRET、AZURE_TENANT_ID，勾选「隐藏变量」避免泄露

• 将deploy阶段的登录命令替换为服务主账号登录：

az login --service-principal -u $AZURE_CLIENT_ID -p $AZURE_CLIENT_SECRET --tenant $AZURE_TENANT_ID

2. 修正Azure CLI安装逻辑 #

你使用的Linux版.NET Core 3.1 SDK镜像不带Azure CLI，将deploy阶段注释的安装脚本替换为正确的Linux安装逻辑：

deploy:
  stage: deploy
  script:
    - apt-get update
    - apt-get install -y curl apt-transport-https lsb-release gnupg
    - curl -sL https://aka.ms/InstallAzureCLIDeb | bash
    - az account clear
    # 替换为上述服务主账号登录命令
    - az login --service-principal -u $AZURE_CLIENT_ID -p $AZURE_CLIENT_SECRET --tenant $AZURE_TENANT_ID
    - az webapp deployment source config-local-git --name <appservicename> --resource-group <resourceGroupName>
  only:
    - master

3. 可选：优化部署流程 #

相比配置本地Git源，更推荐直接打包发布包后用zip部署，流程更简单稳定：

deploy:
  stage: deploy
  script:
    # 省略CLI安装、登录步骤
    - dotnet publish -c Release -o ./publish
    - cd publish && zip -r ../deploy.zip .
    - az webapp deploy --name <appservicename> --resource-group <resourceGroupName> --src-path deploy.zip --type zip
  only:
    - master

其他验证点（如果仍坚持使用用户名密码登录） #

如果非要使用用户名密码登录，必须满足以下所有条件：

• 你的Azure账号为Azure AD内的工作/学校账号，不是个人微软账户
• 账号未开启多因素认证（MFA）
• YAML中配置的邮箱、密码、租户ID无多余空格、特殊字符已正确转义

内容的提问来源于stack exchange，提问作者Deep Soni