azure - Get-AzADServicePrincipal ApplicationId 在 powershell-pipeline 中为空，但可以在 shell 上使用

Question

Write-Host "Adding permissions to key vault"
$objectId=(Get-AzDataFactoryV2 -ResourceGroupName $rgName -Name $adfName).Identity.PrincipalId
$appId = (Get-AzADServicePrincipal -ObjectId $objectId).ApplicationId
Write-Host "~### error empty appId =" $appId
Set-AzKeyVaultAccessPolicy -VaultName $keyVaultName -ServicePrincipalName $appId -PermissionsToSecrets Get

此脚本是从管道执行的，“$appId”为空。但它可以在 Cloud shell 上运行。

Answer 1

我想您没有为 DevOps 管道中资源管理器服务连接的服务主体授予权限。

我可以使用没有权限获取服务主体的服务主体重现您的问题，没有错误消息，但也没有输出，如果您在本地运行命令，捕获请求，您会发现 403错误。

But it works on cloud shell.

在cloud shell中，它使用您登录到cloud shell的用户帐户的凭据。如果有效，则仅意味着您的用户帐户有权获取服务主体。

要解决此问题，请导航至 Azure Active Directory在门户中 -> App registrations -> All applications -> 找到服务连接对应的应用程序，其名称应类似于organizationname-projectname-513f22f1-befd-xxxxxxcfe90f1 。然后点击它 -> 添加权限，如屏幕截图(注意:您的用户帐户需要管理员角色才能单击 Grant admin consent 按钮，例如 Global admin )。

授予权限后，等待一段时间，服务连接的服务主体就可以获取到服务主体，脚本应该可以正常工作。