[BUG] az appconfig kv list fails because of unsupported token audience

オープン
  • 何か問題がありますか？
#649 コメント 2 件 リアクション 0 件 担当者 0 名 GitHub で見る

まだ誰も着手していません。

評価

難易度
4/5
見積もり時間
3〜5日
初心者へのやさしさ
22/100
issue の種類
バグ
明瞭さ
おおむね明確
活発さ
活発
技術スタック
azure, shell
領域
authentication, cloud

調査の方向性

The payload names no file, test or entry point in this repository; the rejection comes from the Cloud Shell MSI token audience check, which the payload does not show. Reproduce with az account get-access-token --resource https://appconfig.azure.com in Cloud Shell, then compare with the https://azconfig.io audience that succeeds. Done means the audience question is answered or the fix is located, and this is likely a service-side change rather than a contribution here.

索引モデルが issue の本文から書いたものです。

説明

bug Triage-needed

To Reproduce

In Cloud Shell, use PowerShell with the default sign-in and run:

$ENDPOINT = "https://<store-name>.azconfig.io/"
az appconfig kv list --endpoint $ENDPOINT --auth-mode login

Reading key-values from the same store works in my local Windows CLI.

Image Image

Observed Behavior

Cloud Shell returns error:

A Cloud Shell credential problem occurred. When you report the issue with the error below, please mention the hostname 'SandboxHost-639274817947608900'
Audience https://zhiyuanliang-free.azconfig.io/ is not a supported MSI token audience.
Run the command below to authenticate interactively; additional arguments may be added as needed:
az logout
az login --scope "https://zhiyuanliang-free.azconfig.io//.default"

Expected behavior

The command should list key-values using Cloud Shell’s default sign-in.

Is this specific to Cloud Shell?

Yes. Both Cloud Shell and my local Windows CLI use Azure CLI 2.90.0.

I checked that both sessions use the same account, tenant, subscription, and App Configuration store. The operation succeeds locally but fails in Cloud Shell.

Interface information

https://portal.azure.com
browser

Additional context

This looks related to #477

App Configuration now documents https://appconfig.azure.com as its public-cloud audience. The older shared audience is https://azconfig.io (which was mentioned in #477). The [Azure python SDK 1.8.0 or later](https://github.com/Azure/azure-sdk-for-python/blob/azure-appconfiguration_1.8.0/sdk/appconfiguration/azure-appconfiguration/CHANGELOG.md) uses https://appconfig.azure.com by default in public Azure. The Azure CLI is built on Azure python SDK

PS /home/zhiyuan> az account get-access-token --resource "https://appconfig.azure.com" --query "{tokenType:tokenType,expiresOn:expiresOn}" --output json
A Cloud Shell credential problem occurred. When you report the issue with the error below, please mention the hostname 'SandboxHost-639274922403092917'
Audience https://appconfig.azure.com is not a supported MSI token audience.
Run the command below to authenticate interactively; additional arguments may be added as needed:
az logout
az login --scope "https://appconfig.azure.com/.default"
PS /home/zhiyuan> az account get-access-token --resource "https://azconfig.io" --query "{tokenType:tokenType,expiresOn:expiresOn}" --output json        
{
  "expiresOn": "2026-10-13 15:46:29.000000",
  "tokenType": "Bearer"
}
PS /home/zhiyuan>
主要言語
PowerShell
スター
273
フォーク
116
30日以内にマージされた PR はありません

環境構築

このプロジェクトには開発コンテナ、Dockerfile、コントリビューションガイドがありません。まず README を読み、一般的な手順ははじめてのコントリビューションガイドを参照してください。

はじめの一歩

  1. issue を最後まで読み、次にプロジェクトのコントリビューションガイドを読みます。
  2. 着手することを issue にコメントします — 二人が同じ作業をするのを防げます。
  3. リポジトリをフォークし、ブランチを切って変更します。
  4. issue 番号を参照したプルリクエストを送ります。

Azure/CloudShell のほかの issue

Azure/CloudShell の issue をすべて見る

似ている issue

Security の issue をもっと見る

新しい issue をメールで受け取る

初心者向けの GitHub issue を短くまとめたダイジェスト。