Azure CLI 网络连接跨租户问题解析与解决方案

问题背景

在Azure网络架构中，网络连接是连接不同虚拟网络的关键组件。当使用Azure CLI创建或更新网络连接时，如果连接的两个端点（本地网关或虚拟网络网关）位于不同的Azure Active Directory(AAD)租户中，操作可能会失败。这是由于Azure资源管理器(ARM)在进行跨租户资源访问时需要进行额外的授权验证。

问题现象

当执行以下Azure CLI命令时：

• az network_connection create
• az network_connection update

如果命令中引用的local_gateway2或vnet_gateway2资源位于与主资源vnet_gateway1不同的AAD租户中，操作会返回403 Forbidden错误。错误信息表明虽然客户端有权限执行操作，但当前租户未被授权访问链接的订阅。

技术原理

这个问题源于Azure的LinkedAccessCheck机制。当ARM处理跨租户资源引用时，需要验证请求方是否有权访问目标租户中的资源。当前的Azure CLI实现在发送请求时没有包含必要的辅助认证头(AuxiliaryAuthHeader)，导致授权检查失败。

类似的问题在VNet对等连接功能中已经得到解决，通过添加适当的辅助认证头来支持跨租户操作。网络连接功能需要实现相同的机制。

解决方案

Azure CLI团队已经修复了这个问题。修复的核心是在发送网络连接创建或更新请求时：

1. 检查所有引用资源（如local_gateway2/vnet_gateway2）的租户ID
2. 如果发现引用资源位于不同租户，添加相应的AuxiliaryAuthHeader
3. 确保请求包含足够的认证信息以通过跨租户授权检查

验证方法

用户可以通过以下步骤验证问题是否已解决：

1. 确保使用最新版本的Azure CLI（2.70.0或更高）
2. 准备跨租户网络连接场景的测试环境
3. 执行网络连接创建或更新命令
4. 检查操作是否成功完成

最佳实践

对于需要配置跨租户网络连接的用户，建议：

1. 提前规划好网络架构，明确哪些资源位于不同租户
2. 确保服务主体或用户账号在所有相关租户中都有适当权限
3. 测试连接前验证Azure CLI版本
4. 在复杂场景下考虑使用Azure Resource Manager模板进行部署

总结

跨租户网络连接是许多企业混合云架构中的常见需求。Azure CLI的最新更新解决了这一问题，使用户能够更灵活地管理分布在多个AAD租户中的网络资源。理解这一问题的背景和解决方案有助于网络管理员更高效地规划和实施跨租户网络连接方案。