Azure DevOps服务连接认证失败求助（ACR/ARM服务主体）

常见排查方向 #

• 检查服务主体权限：确保服务主体拥有ACR所需的AcrPull或Contributor权限，ARM服务连接对应的资源组/订阅权限，权限缺失会导致无法加载可用容器注册表。
• 验证服务主体状态：在Azure AD中确认服务主体未被禁用、未过期，状态正常。
• 核对基础信息：检查服务主体的租户ID、客户端ID是否输入正确，密钥是否未失效。
• 排查网络问题：私有网络环境下，确认网络连通Azure AD及ACR的端点，防火墙或代理未拦截请求。

服务主体令牌/密钥刷新步骤 #

如果确认是令牌或密钥过期，按以下操作处理：

方式1：Azure CLI操作 #

1. 登录服务主体：

az login --service-principal -u <服务主体客户端ID> -p <服务主体密钥> --tenant <租户ID>

2. 获取ARM服务的新令牌：

az account get-access-token --resource https://management.azure.com/

3. 获取ACR服务的新令牌：

az account get-access-token --resource https://azurecr.io

方式2：Azure PowerShell操作 #

1. 安装/更新Az模块：

Install-Module -Name Az.Accounts -Force -AllowClobber

2. 登录服务主体：

$cred = Get-Credential  # 输入服务主体客户端ID和密钥
Connect-AzAccount -ServicePrincipal -ApplicationId <客户端ID> -Credential $cred -Tenant <租户ID>

3. 获取对应资源的新令牌：

# ARM资源
Get-AzAccessToken -ResourceUrl https://management.azure.com/

# ACR资源
Get-AzAccessToken -ResourceUrl https://azurecr.io

方式3：更新Azure DevOps服务连接 #

1. 进入Azure DevOps项目→项目设置→服务连接
2. 找到目标ACR/ARM服务连接，点击编辑
3. 重新输入有效的服务主体密钥（若密钥已过期，需先在Azure AD的服务主体详情页重置密钥），保存后重新测试连接。

关于登录弹窗的说明 #

选择服务主体后弹出登录对话框，说明当前配置的服务主体信息存在错误，系统触发了交互式登录的 fallback 逻辑。建议直接核对服务主体的客户端ID、密钥、租户ID，不要通过弹窗登录，确保参数正确后再测试连接。

内容的提问来源于stack exchange，提问作者hello world