Azure 门户国内访问指南：登录验证、订阅开通与 az CLI 超时全解

做云上开发、准备认证考试或者申请 Azure OpenAI 服务的人，迟早要和 Azure 门户打交道。可从国内直接打开 portal.azure.com，常见的体验是：页面加载到一半停住，顶栏出来了、资源列表却一直是骨架屏；点登录跳到微软账号页，验证器推送迟迟不来，好不容易通过又被要求重新登录；想开个免费账号，填到付款验证那一步反复失败；打开终端敲 az login，浏览器窗口弹出来之后终端就没了动静，几分钟后直接报超时。

这几件事各有各的原因。门户白屏是因为它是一个极重的单页应用，要从十几个域名拉脚本和数据，任何一条链路不畅都会卡住整体渲染；登录反复验证是微软账号的风控在起作用，位置频繁变化会被当成异常登录；订阅开不了往往是资格问题——国际版 Azure 与由世纪互联运营的中国版是两套完全独立的体系，账号、门户地址、付款方式互不通用；az CLI 超时则是命令行没有走上你以为它在走的那条线路。这篇按这四条线逐一解决，也给出开发机上的长期配置。

先分清两个 Azure：国际版与世纪互联版

个人开发者、学生和想用 Azure OpenAI 的人，绝大多数需要的是国际版；企业要在境内合规部署业务的才走中国版。国际版账号注册时选定的国家或地区之后不能更改，它决定了可用的付款方式与计费货币，注册前想清楚。免费账号的额度、时长与验证要求会不定期变化，以官方最新条款为准。

从登录到开通订阅：分步操作步骤

• 第一步：先把线路准备好，连上刺猬VPN。安装客户端后自定义用户名和密码即可完成匿名注册，不需要邮箱、也不需要手机号，免费节点永久免费、不限流量，注册即用；全程 HTTPS+AES 加密传输；
• 第二步：选一个延迟低、地区固定的节点，之后登录 Azure 都用它。微软账号的风控对登录位置很敏感，今天在美国明天在新加坡，验证器推送会一遍遍来；
• 第三步：打开 portal.azure.com 登录。第一次登录建议在电脑浏览器完成，把验证器 App 或短信验证一次配好，之后的登录会顺很多；
• 第四步：开通订阅。个人用免费账号或按量付费，学生用学校邮箱申请学生计划，注册时国家或地区一旦选定就不能改，付款验证要用与该地区匹配的付款方式，具体以官方最新条款为准；
• 第五步：订阅激活后先在门户里建一个最简单的资源验证权限正常，例如一个资源组或一个存储账号，再去动更复杂的东西；
• 第六步：安装 Azure CLI 后，在终端里先设置代理环境变量再执行 az login，让命令行的请求和浏览器走同一条线路，具体写法见下文命令行一节；
• 第七步：如果浏览器弹窗登录总是回不来，改用 az login --use-device-code，在浏览器里输入设备码完成，这条路对网络波动的容忍度高很多；
• 第八步：登录成功后用 az account show 确认当前订阅，再执行一条只读命令比如列出资源组，确认令牌与线路都正常；
• 第九步：多台设备同时工作很常见，刺猬VPN 一个账号支持多设备同时在线，开发机、笔记本与手机上的验证器可以同时连接；iPhone 用户注意中国大陆区 App Store 不提供 VPN 应用，需要外区 Apple ID，见 iOS 安装教程。

命令行为什么会超时：让 az 走对线路

浏览器能打开门户不代表终端也能连上。客户端的智能分流按目标域名与 IP 规则判定，管理接口所在的 management.azure.com、登录所在的 login.microsoftonline.com 一般都会被识别为境外流量走隧道，但 CLI 有时会绕开系统代理设置，或者被开发机上另一个代理工具截走。最稳的办法是给终端显式指定代理：在 PowerShell 里执行 $env:HTTPS_PROXY="http://127.0.0.1:端口"，在 macOS 与 Linux 的 shell 里执行 export HTTPS_PROXY=http://127.0.0.1:端口，端口以客户端设置页显示的本地端口为准，之后再 az login。

另一类常见报错是证书校验失败。Azure CLI 底层用 Python 发请求，如果链路上有公司网关或安全软件做了流量检查，会看到 SSL 相关的报错。正确做法是把该网关的根证书导出后，通过 REQUESTS_CA_BUNDLE 环境变量指给 CLI，而不是关闭证书校验。开全局模式能快速排除分流规则的干扰，确认是分流问题后再回到智能分流并补规则。

按现象逐条排查：白屏、验证、订阅与命令行

对照下面这些现象定位问题属于哪一层，别一上来就重装 CLI 或换账号。

• 门户只剩顶栏、资源列表一直是骨架屏：静态脚本与数据接口有一部分没到，换延迟更低的节点后强制刷新；
• 登录页反复跳回、提示需要重新验证：会话 Cookie 与当前位置不一致，固定节点后清掉微软域名下的 Cookie 重新登录；
• 验证器推送迟迟不到：手机没有走线路或推送通道不通，手机也连上刺猬VPN，或者改用验证器里的一次性验证码；
• 提示账号存在风险已被阻止登录：短时间内多地登录触发风控，按提示完成身份确认，之后固定一个出口地区；
• 注册时付款验证失败：付款方式所属地区与账号地区不一致，或该付款方式不被接受，换与账号地区匹配的付款方式；
• 门户能开但某项服务提示当前区域不可用：该服务未在所选区域上线，换东亚、东南亚或日本等区域重试；
• az login 弹出浏览器后终端无响应：回调没回到本机，改用设备码方式登录；
• az 命令报连接超时或 SSL 错误：命令行没走线路或链路上有证书替换，设置代理变量或指定 CA 证书。

线路怎么选：云控制台的实际需求

云控制台的流量特征是请求多、体积小、对延迟敏感，长时间运行的部署命令还要求连接不中断。刺猬VPN 的免费节点永久免费、不限流量、注册即用，学习与准备认证考试用免费节点就够；日常做部署、要长时间开着 Cloud Shell 的人更适合时长套餐，期间不限流量、不限速，覆盖 20 多个国家、100 多台服务器，可以选东亚或东南亚方向延迟更低的节点。实际可用性取决于当前网络环境。

和其他云平台、微软服务的分工

三大云的控制台在国内的问题高度相似，解决思路也能互相借用。已经在用 AWS 的人可以对照 AWS 控制台与免费套餐国内访问，用 Google Cloud 的看 Google Cloud 控制台国内访问，三家在登录风控、CLI 代理与免费额度上的差别一对比就清楚。

Azure 账号与 Outlook、OneDrive、Teams 共用同一套微软账号体系，登录问题往往是连带的，整体处理见 OneDrive、Outlook、Teams 国内访问指南。团队协作画架构图时常用的在线白板同样依赖长连接，卡顿的排查见 Miro、FigJam 在线白板卡顿怎么办。浏览器里给门户装扩展装不上，参考 Chrome 应用商店打不开、扩展装不上。各平台的免费额度与服务范围以官方最新条款为准。

常见报错速查表

高频问答

• 问：国内注册国际版 Azure 可以吗？答：可以，选定国家或地区后不能更改，它决定付款方式与货币，注册前想好，以官方最新条款为准；
• 问：世纪互联版的账号能登录 portal.azure.com 吗？答：不能，两套体系完全独立，门户地址、账号、付款都不通用；
• 问：az login 一直超时是不是 CLI 坏了？答：多数是命令行没走线路，先设置代理环境变量或改用设备码登录，重装 CLI 通常没用；
• 问：验证器推送总是收不到怎么办？答：手机也连上线路，或者在验证器里直接读一次性验证码手动输入，不依赖推送；
• 问：门户里应该选哪个区域建资源？答：延迟角度东亚、东南亚与日本区域更近，但要看目标服务在哪些区域上线，两者都要考虑；
• 问：免费节点够做云上开发吗？答：学习和考试准备够用；长时间部署与 Cloud Shell 建议时长套餐，实际可用性取决于当前网络环境。

把云控制台用顺：长期做法

Azure 门户打不开、登录反复验证、订阅开不了、az CLI 超时，这几个问题拆开看指向三件事：重型单页应用对线路延迟敏感、微软账号风控对位置变化敏感、命令行与浏览器可能没走同一条线路。对应的长期做法很清楚——选一个延迟低的节点固定使用；把验证器一次配好并且让手机也走线路；在开发机的 shell 配置文件里把代理变量写成默认，让每个终端窗口都自动走线路。

再养成两个习惯：注册时确认自己进的是国际版还是中国版，别在错误的门户里找功能；重要的部署命令用 CLI 而不是网页点选，脚本可以重跑，网页操作中断了很难知道停在哪一步。刺猬VPN 采用 HTTPS+AES 加密传输，自定义用户名和密码即可匿名注册，不需要邮箱和手机号；免费节点永久免费、不限流量、注册即用，学习云服务用免费节点足够；时长套餐按周期计费、期间不限流量不限速，适合日常做部署与运维的开发者；一个账号支持多设备同时在线。Azure 的免费额度、区域与服务范围会不定期调整，以官方最新条款为准，实际可用性取决于当前网络环境。