PowerShell 7 ForEach-Object -Parallel调用Azure PowerShell时认证异常问题

核心原因 #

• Azure 资源并发修改冲突：Add-AzWebAppAccessRestrictionRule 命令的底层逻辑是先拉取当前Web App的全量访问限制配置，本地新增规则后再将完整配置提交回Azure。当多个并行任务同时执行该命令时，会出现多个任务同时拉取到未更新前的旧配置，各自新增规则后先后提交，后提交的配置会直接覆盖前一次提交的内容，导致先提交的新增规则丢失。你观察到的「ThrottleLimit越大，创建成功的规则越少」的现象完全符合该冲突特征：并发度越高，同时拉取旧配置的概率越大，规则覆盖丢失的情况越严重。
• Azure AD 身份验证限流：你在ForEach-Object -Parallel 块内部每次都执行Connect-AzAccount 进行身份验证，同一服务主体短时间内高频发起认证请求会触发Azure AD的限流策略，部分请求会被直接拒绝，导致对应任务的规则创建命令因未授权执行失败。
• Azure 资源管理器请求限流：短时间内针对同一资源发起多次修改请求，会触发Azure资源管理器的默认限流阈值，超出阈值的请求会被丢弃，也会导致规则创建失败。

解决方案 #

最优方案：本地批量拼接规则后一次性提交 #

不要逐次调用添加接口，直接在本地拼接所有需要的规则，一次更新到Azure，既没有并发冲突，执行效率也最高，示例代码逻辑：

# 直接在内存中获取去重IP，无需落盘
$webApp = Get-AzWebApp -ResourceGroupName "ResourceGroup1" -Name "WebApp1"
$allIps = ($webApp.OutboundIpAddresses + "," + $webApp.PossibleOutboundIpAddresses).Split(",") | Sort-Object -Unique

# 拼接所有规则
$priority = 100
$restrictionRules = foreach ($ip in $allIps) {
    New-AzWebAppAccessRestrictionRule -Name "IP-$priority" -Priority $priority -Action Allow -IpAddress "$ip/24"
    $priority++
}

# 一次性更新所有规则
Update-AzWebAppAccessRestrictionConfig -ResourceGroupName "ResourceGroup1" -WebAppName "WebApp1" -AccessRestriction $restrictionRules

临时方案：保持串行执行 #

如果一定要用原来的逐次添加逻辑，保持-ThrottleLimit 1 串行执行即可避免并发冲突，只是执行速度较慢。

内容的提问来源于stack exchange，提问作者WinBoss