通过PowerShell获取Azure应用授权令牌遇到问题求助

嘿，我看到你在PowerShell里获取Azure应用令牌时碰到了麻烦，而且代码还没写完。先别慌，咱们一步步来梳理可能的问题，把代码补全并排查常见的坑。

首先，先看看你现有代码里的几个关键点，再给你补全和优化方案：

一、先补全你基于ADAL的原始代码（并修复潜在问题） #

你加载的是旧版ADAL（Active Directory Authentication Library）的程序集，先帮你把代码补全，同时加上错误检查：

function Get-Token {
    # 定义ADAL程序集路径，先检查文件是否存在
    $adalPath = "${env:ProgramFiles(x86)}\Microsoft SDKs\Azure\PowerShell\ServiceManagement\Azure\Services\Microsoft.IdentityModel.Clients.ActiveDirectory.dll"
    $adalWinFormsPath = "${env:ProgramFiles(x86)}\Microsoft SDKs\Azure\PowerShell\ServiceManagement\Azure\Services\Microsoft.IdentityModel.Clients.ActiveDirectory.WindowsForms.dll"
    
    if (-not (Test-Path $adalPath) -or -not (Test-Path $adalWinFormsPath)) {
        Write-Error "ADAL程序集文件不存在！请检查路径是否正确，或确认已安装旧版Azure PowerShell模块"
        return
    }

    # 加载程序集
    Import-Module $adalPath
    Import-Module $adalWinFormsPath

    # 配置参数（需要补充租户ID和目标资源URI）
    $clientId = "1b730954-1685-4b74-9bfd-dac224a7b894"
    $redirectUri = "urn:ietf:wg:oauth:2.0:oob"
    $resourceUri = "https://management.azure.com/" # 替换为你实际要访问的Azure资源URI
    $tenantId = "your-tenant-id-here" # 替换为你的租户ID，多租户应用可暂时用"common"

    # 创建认证上下文并获取令牌
    $authContext = New-Object Microsoft.IdentityModel.Clients.ActiveDirectory.AuthenticationContext("https://login.microsoftonline.com/$tenantId")
    $authResult = $authContext.AcquireToken($resourceUri, $clientId, $redirectUri, [Microsoft.IdentityModel.Clients.ActiveDirectory.PromptBehavior]::Auto)

    if ($authResult) {
        Write-Host "令牌获取成功"
        return $authResult.AccessToken
    } else {
        Write-Error "令牌获取失败，请检查参数配置或权限设置"
        return $null
    }
}

二、常见问题排查点 #

• 程序集加载失败：你用的路径是旧版Azure PowerShell的ServiceManagement模块路径，现在很多环境可能已经升级到Az模块，这个路径可能不存在。如果是这种情况，建议改用AzureAD模块里的ADAL，或者直接用下面推荐的MSAL。
• 权限配置问题：确保你的clientId对应的Azure AD应用已经添加了目标resourceUri的API权限，并且如果是需要管理员同意的权限，已经获得了租户管理员的批准。
• 租户ID缺失：如果不指定租户ID，用"common"虽然能兼容多租户，但可能会导致认证流程异常，建议尽量使用具体的租户ID。

三、推荐使用MSAL替代ADAL（更安全且支持最新特性） #

ADAL已经被微软弃用，现在推荐使用MSAL（Microsoft Authentication Library），它支持更多认证场景，安全性也更高。给你一个基于MSAL.PS模块的示例：

function Get-TokenWithMSAL {
    # 先检查并安装MSAL.PS模块（如果未安装）
    if (-not (Get-Module -ListAvailable MSAL.PS)) {
        Install-Module MSAL.PS -Scope CurrentUser -Force -AllowClobber
    }
    Import-Module MSAL.PS

    # 配置参数
    $clientId = "1b730954-1685-4b74-9bfd-dac224a7b894"
    $redirectUri = "urn:ietf:wg:oauth:2.0:oob"
    $tenantId = "your-tenant-id-here"
    $scopes = "https://management.azure.com/.default" # MSAL用scopes替代resource，格式为{resourceUri}/.default

    # 获取令牌
    $authResult = Get-MsalToken -ClientId $clientId -TenantId $tenantId -Scopes $scopes -RedirectUri $redirectUri
    if ($authResult) {
        Write-Host "令牌获取成功"
        return $authResult.AccessToken
    } else {
        Write-Error "令牌获取失败"
        return $null
    }
}

四、自动化场景推荐：服务主体非交互式认证 #

如果你的脚本是用于自动化场景（不需要人工弹窗登录），推荐使用服务主体的方式获取令牌，完全无交互：

function Get-TokenForServicePrincipal {
    $clientId = "your-service-principal-client-id"
    $clientSecret = "your-service-principal-secret"
    $tenantId = "your-tenant-id"
    $resourceUri = "https://management.azure.com/"

    # 调用Azure AD令牌端点获取令牌
    $tokenParams = @{
        Uri = "https://login.microsoftonline.com/$tenantId/oauth2/token"
        Method = "Post"
        Body = @{
            grant_type    = "client_credentials"
            client_id     = $clientId
            client_secret = $clientSecret
            resource      = $resourceUri
        }
    }

    $response = Invoke-RestMethod @tokenParams
    return $response.access_token
}

内容的提问来源于stack exchange，提问作者Oleg Skripnyak