未加入Azure AD的Azure Function App重启相关问题咨询

问题1：重启未加入Azure AD的Azure Function App，是否必须先将其纳入Azure AD管控？ #

不需要。你提到的“未纳入Azure AD安全管控”指的是Function App自身的业务接口未启用Azure AD身份验证，这和Azure资源管理接口的权限逻辑完全独立。
所有management.azure.com域名下的Azure Resource Manager（ARM）接口的身份校验全部基于Azure AD，不管Function App本身有没有启用Azure AD认证，调用ARM接口管控该资源只需要调用方持有合法的Azure AD身份凭证，不需要额外将Function App本身纳入Azure AD管控。 #

问题2：请求头自动携带的token的正确获取方式是什么？ #

你看到的自动携带的token是Azure AD颁发的ARM接口专属访问令牌，由你本地登录过的Azure相关工具（如Azure CLI、VS Code Azure插件、Azure PowerShell）自动基于你所属企业的Azure AD用户身份生成，常用的主动获取方式如下：

• 使用Azure CLI获取：执行命令 az account get-access-token --resource=https://management.azure.com 即可直接输出可用token
• 使用Azure PowerShell获取：执行命令 Get-AzAccessToken -ResourceUrl https://management.azure.com
• 代码场景获取：使用对应语言的Azure Identity SDK，可通过用户登录、服务主体、托管身份等多种方式自动获取，无需手动处理凭证生成逻辑
  注意：持有token的身份（用户/服务主体）需要对目标Function App资源拥有至少网站参与者或者参与者角色权限才能调用重启接口。

问题3：接口返回200 OK但活动日志无重启记录，是否代表应用已经成功重启？ #

返回200仅代表ARM接口已经接收并受理了你的重启请求，不代表操作最终执行成功。活动日志无记录通常有以下几种可能：

• 活动日志存在5~15分钟的上报延迟，可等待半小时后再重新查询
• 活动日志的筛选条件配置错误，比如时间范围选择不当、未勾选对应类型的操作事件
• 调用接口使用的身份实际没有重启权限，部分场景下ARM会先返回200，但后台权限校验不通过时操作不会实际执行
  你可以通过查看Function App的进程启动时间、Kudu环境的运行日志、或者监控指标中的进程重启记录，来确认重启操作是否真的执行成功。

内容的提问来源于stack exchange，提问作者Maria