使用Azure PowerShell连接Azure遇访问问题：配置MFA后提示无订阅权限

开Azure AD安全默认值启用MFA后，Connect-AzAccount触发设备代码流认证，验证完成后报无订阅访问权限的问题，不存在MFA配置本身修改账号权限的情况，按以下步骤操作即可解决：

1. 排查租户上下文不匹配问题 #

• 执行带-Subscription参数的连接命令时，如果没有显式指定租户ID，Az模块会默认拉取当前账号的默认目录租户下的订阅列表，若目标订阅关联在非默认目录租户下，就会触发“无权限访问该订阅ID”的报错。
• 先移除命令中的-Subscription参数，完成MFA认证后执行Get-AzSubscription，查看返回列表中是否存在目标订阅ID。
• 修正连接命令：补充目标订阅所属的租户ID，替换实际参数后执行：

  Connect-AzAccount -TenantId "你的租户ID" -Subscription "你的实际SubscriptionID"
  

2. 核对权限与登录身份的一致性 #

• 进入目标订阅的「访问控制(IAM)」页面，确认xx.yy@company.com的所有者角色分配仍然存在，没有被意外删除。
• 设备代码认证环节，浏览器可能自动填充本地保存的其他微软账号，需确认MFA验证时选择的工作/学校账号就是xx.yy@company.com，没有错选成个人账号或同租户低权限账号。
• 认证完成后执行Get-AzContext，核对输出的账号字段、租户字段与预期管理员身份、目标租户完全一致。

3. 清理本地Az模块的过期缓存 #

• 旧版本Az PowerShell模块存在已知bug：开启MFA后，本地缓存的订阅权限列表不会自动刷新，会沿用MFA配置前的过期缓存导致权限校验失败。
• 依次执行以下命令清空本地缓存：

  Disconnect-AzAccount
  Clear-AzContext -Force
  

• 清理完成后重新执行带租户ID的连接命令，首次连接不要硬编码订阅ID参数，待成功拉取全量订阅列表后，通过Set-AzContext -Subscription "目标订阅ID"固定工作上下文即可。

注意：安全默认值强制要求交互式认证走设备代码流，属于合规要求，不会拦截拥有合法权限的管理员账号访问订阅资源。

内容的提问来源于stack exchange，提问作者tester81