azure - 使用正确且未过期的 secret 时，提供了无效的客户端 secret

Question

我有带有有效 key 的 Azure 应用程序注册。

我正在尝试使用 v1.0 获取 token ，如下所示(clientId 是上述应用程序注册的 ID)

$body = @{
    grant_type = 'client_credentials';
    client_id = $clientId;
    client_secret = $clientSecret;
    resource = $resourceId;
}

$aadResponse = Invoke-WebRequest -Uri "https://login.microsoftonline.com/$aadtenantId/oauth2/token" -Method POST -Body $body -UseBasicParsing

使用 az ad app credential Reset --id XXX 重新生成凭据后，一切按预期工作 - 已正确获取 token 。

但是，在 Azure Devops 中，我在从 KV 获取值时遇到以下错误

然后我将转到 Azure Devops 服务连接，并通过编辑、验证和保存我能够与 KV 连接，而无需任何进一步的改变。

但是，此操作会破坏 token 的初始工作获取(如上所述)。

我百分百确定:

1. 密码正确
2. 我实际上使用的是密码，而不是其 ID
3. 对密码进行编码没有帮助
4. 除了验证服务连接之外没有其他操作
5. 我正在使用Failed to obtain the JWT by using the service principal client ID作为服务连接的引用

我做错了什么？

Answer 1

我也可以在我这边重现您的问题。

使用 az ad app credential Reset --id XXX 重新生成客户端 key 后，我想当您在服务中单击Verify 时，您应该会收到如下错误使用服务主体(自动)连接 Azure 资源管理器。

如服务连接页面所示，您是通过自动方式创建的，如果您重新生成客户端 key ，则需要通过手动方式创建新的服务连接来解决问题。

您可以在 keyvault 页面和 AAD 应用页面获取这些值。对于服务主体 key ，它是您重新生成的客户端 key ，如果不保存则无法再次获取它，如果是这样，您需要重新生成一个新的。

固定值后，验证并保存。

然后在AzureKeyVault@2任务中使用新的服务连接，它工作正常。