如何在Azure Function中调用Azure CLI？替代C#/JS实现CLI命令执行

当然可以在Azure Function里调用Azure CLI！作为经常处理Azure自动化场景的开发者，我帮你梳理下具体实现步骤，顺便聊聊这种方式和用C#/JS编写函数的差异。

一、可行性说明 #

完全没问题！不管是用PowerShell、Bash这类原生支持命令行的运行时，还是在C#/JavaScript函数里通过子进程调用，都能实现Azure CLI命令的执行。其中最直接高效的方式是用PowerShell Core或Bash作为Function的运行时，因为它们和Azure CLI的兼容性最好，不需要额外封装。

二、具体实现步骤（以PowerShell Function为例，最常用） #

1. 创建PowerShell运行时的Function App #

• 如果你习惯用Azure门户：直接创建Function App，运行时选择PowerShell Core（推荐v7.x版本），托管计划选消耗计划或弹性计划都可以。
• 如果你偏爱命令行：用Azure CLI本地创建，执行这条命令：

az functionapp create --resource-group <你的资源组名称> --consumption-plan-location <区域，比如eastus> --name <唯一的函数应用名称> --runtime powershell --functions-version 4

2. 配置身份验证（关键！） #

本地运行Azure CLI需要手动az login，但Function在云端运行不能这么做，我们用系统分配托管标识来自动认证：

• 进入Function App的“标识”选项卡，切换到“系统分配”页，开启状态并保存。
• 给这个托管标识分配对应的Azure资源权限：比如要操作虚拟机，就给它分配“虚拟机参与者”角色；要管理存储账户，就分配“存储账户参与者”角色（在资源的“访问控制(IAM)”里添加角色分配）。
• 完成后，Function里调用Azure CLI时会自动用这个标识认证，完全不需要手动登录！

3. 编写调用CLI的函数代码 #

创建一个HTTP触发的PowerShell函数，替换默认代码为示例：

using namespace System.Net

param($Request, $TriggerMetadata)

# 调用Azure CLI命令，这里以列出当前订阅下的所有虚拟机为例
$vmList = az vm list --output json | ConvertFrom-Json

# 整理返回数据，只保留名称和资源组信息
$responseBody = @{
    VirtualMachines = $vmList | Select-Object name, resourceGroup
    ExecutionTime = Get-Date -Format "yyyy-MM-dd HH:mm:ss"
}

# 返回HTTP响应
Push-OutputBinding -Name Response -Value ([HttpResponseContext]@{
    StatusCode = [HttpStatusCode]::OK
    Body = $responseBody
})

这段代码直接调用az vm list获取VM列表，把CLI返回的JSON转成PowerShell对象处理，最后返回结构化的响应给请求者。

4. 测试函数 #

• 云端测试：在Azure门户的函数“测试”页，发送HTTP请求，就能看到返回的VM列表数据。
• 本地测试：先在终端执行az login登录你的Azure账户，然后用Azure Functions Core Tools启动本地调试，发送请求即可验证。

三、用Bash运行时实现（可选） #

如果更习惯Bash脚本，可以在Linux托管计划的Function App里创建Bash函数：

1. 创建Function App时选择自定义运行时，或者直接在现有Linux Function里添加Bash触发函数。
2. 同样配置托管标识和权限。
3. 编写Bash脚本示例：

#!/bin/bash

# 调用Azure CLI列出资源组数量
groupCount=$(az group list --output tsv | wc -l)

# 返回JSON格式的HTTP响应
echo "Content-Type: application/json"
echo ""
echo "{\"status\": \"success\", \"resourceGroupCount\": $groupCount, \"timestamp\": \"$(date +%Y-%m-%dT%H:%M:%S)\"}"

四、和C#/JS编写的Function对比 #

优势 #

• 开发速度快：如果你已经熟悉Azure CLI命令，直接复用现有命令即可，不需要学习Azure SDK的复杂API，几分钟就能写出可用的函数。
• 覆盖范围广：Azure CLI支持的操作几乎覆盖所有Azure服务，有些边缘场景SDK还没更新的话，CLI可能已经支持。

劣势 #

• 性能稍差：调用CLI是启动子进程执行命令，比直接调用SDK的原生API（比如C#用Azure.Messaging.ServiceBus发送消息）性能要低一些，高并发场景下差异更明显。
• 错误处理麻烦：CLI返回的是文本或JSON，需要自己解析错误信息；而SDK有强类型的异常和错误提示，调试和处理起来更规范。
• 可维护性：脚本式的CLI调用不如SDK代码容易维护，尤其是复杂逻辑场景，SDK的强类型和代码提示更友好。

五、注意事项 #

• 遵循权限最小化原则：给托管标识分配刚好够用的权限，不要过度授权，避免安全风险。
• 网络环境：如果Function部署在VNet隔离环境里，要确保能访问Azure资源管理器（ARM）的端点，否则CLI命令无法执行。
• 版本兼容：确保Function运行时的PowerShell/Bash版本和Azure CLI版本兼容（Azure CLI会随Function App自动更新，一般不用手动管）。

内容的提问来源于stack exchange，提问作者Irwin