Azure Batch Python SDK创建池遇请求认证失败，门户操作正常

结合你用Azure Portal能成功创建池、节点正常访问子网VM的情况，这个认证失败大概率是Python SDK的身份验证配置或权限没跟上Portal的设置，咱们一步步来排查：

1. 先确认SDK使用的认证身份及权限 #

Portal创建池时用的是你当前登录的用户权限，但Python SDK一般是用服务主体或者托管标识来认证的，得确保这个身份有足够权限：

• 如果用的是服务主体：要给它授予Azure Batch账户的Contributor角色，同时还要给目标VNet所在资源组的Network Contributor角色（因为需要把计算节点加入子网）。
• 检查代码里的认证初始化是否正确，比如服务主体认证的代码要确保参数准确：

from azure.batch import BatchServiceClient
from azure.common.credentials import ServicePrincipalCredentials

# 替换成你的实际参数
credentials = ServicePrincipalCredentials(
    client_id="你的服务主体Client ID",
    secret="你的服务主体密钥",
    tenant="你的租户ID"
)

# 替换成你的Batch账户URL，在Portal的Batch账户概览里能找到
batch_client = BatchServiceClient(credentials, batch_url="https://你的batch账户名.区域.batch.azure.com/")

要保证这些参数和你Portal里的资源信息完全匹配，尤其是batch_url不能写错区域或账户名。

2. 检查代码中是否遗漏了子网配置参数 #

你在Portal里指定了子网，但看你提供的代码片段里没有network_configuration参数，虽然这不一定直接导致认证失败，但如果SDK创建的池没关联子网，可能后续也会有问题，同时也有可能因为参数不完整触发服务器的异常判断。补全子网配置的代码示例：

network_config = batch.models.NetworkConfiguration(
    subnet_id="/subscriptions/你的订阅ID/resourceGroups/你的资源组名/providers/Microsoft.Network/virtualNetworks/你的VNet名/subnets/你的子网名"
)

new_pool = batch.models.PoolAddParameter(
    id=pool_id,
    virtual_machine_configuration=batch_models.VirtualMachineConfiguration(
        image_reference=image_ref_to_use,
        node_agent_sku_id=sku_to_use
    ),
    vm_size=constants._POOL_VM_SIZE,
    target_dedicated_nodes=constants._POOL_NODE_COUNT,
    max_tasks_per_node=2,
    task_scheduling_policy=batch.models.TaskSchedulingPolicy(
        node_fill_type=batch.models.ComputeNodeFillType.pack
    ),
    start_task=batch.models.StartTask(
        command_line=azure_helper.wrap_commands_in_shell('linux', task_commands),
        user_identity=batch.models.UserIdentity(auto_user=batch.models.AutoUserSpecification(
            scope=batch.models.AutoUserScope.pool,
            elevation_level=batch.models.ElevationLevel.admin
        ))
    ),
    network_configuration=network_config  # 加上子网配置
)

3. 开启SDK日志查看详细错误 #

认证失败的具体原因（比如凭据无效、权限不足、请求格式错误）可以通过开启日志来排查，在代码开头加入日志配置：

import logging

# 开启DEBUG级别的日志，能看到HTTP请求和响应的详细内容
logging.basicConfig(level=logging.DEBUG)

运行代码后，你能看到认证请求的具体返回信息，比如401错误的详细描述，这会帮你快速定位问题根源。

4. 确认Batch账户与VNet的区域匹配 #

虽然Portal能成功，但还是要确认Batch账户的区域和VNet的区域是一致的，Azure Batch要求池的VNet必须和Batch账户在同一区域，否则也会触发错误（不过一般是资源找不到，但也可能间接影响认证判断）。

内容的提问来源于stack exchange，提问作者void