Настройка параметров безопасности управляемых пулов DevOps

По умолчанию управляемые пулы DevOps настраиваются с одной организацией Azure DevOps, указанной при создании пула. При настройке пула для одной организации имя организации отображается и настраивается в параметрах пула .

По умолчанию для параметра "Добавить пул для всех проектов " задано значение "Да", а доступ к управляемому пулу DevOps предоставляется всем проектам в организации. Чтобы ограничить, какие проекты в организации могут использовать пул, выберите "Нет", а затем укажите, какие проекты должны иметь доступ.

Организации можно настроить в свойстве organizationProfile ресурса Managed DevOps Pools.

{
    "$schema": "https://schema.management.azure.com/schemas/2019-04-01/deploymentTemplate.json#",
    "contentVersion": "1.0.0.0",
    "resources": [
        {
            "name": "fabrikam-managed-pool",
            "type": "microsoft.devopsinfrastructure/pools",
            "apiVersion": "2025-01-21",
            "location": "eastus",
            "properties": {
            ...
            "organizationProfile": {
                "organizations": [
                    {
                        "url": "https://dev.azure.com/fabrikam-tailspin",
                        "projects": [],
                        "parallelism": 4
                    }
                ],
                "permissionProfile": {
                    "kind": "CreatorOnly"
                },
                "kind": "AzureDevOps"
            }
        }
    ]
}

В organizationProfile разделе содержатся следующие свойства.

Организации можно настроить в параметре organization-profile при создании или обновлении пула.

az mdp pool create \
   --organization-profile organization-profile.json
   # other parameters omitted for space

В следующем примере показан объект organization-profile, настроенный для всех проектов в организации fabrikam-tailspin с заданным значением parallelism, установленным на 1.

{
  "AzureDevOps":
  {
      "organizations": [
      {
          "url": "https://dev.azure.com/fabrikam-tailspin",
          "projects": [],
          "parallelism": 1
      }
    ]
  }
}

В organizationProfile разделе содержатся следующие свойства.

Организации можно настроить в свойстве organizationProfile ресурса Managed DevOps Pools.

resource managedDevOpsPools 'Microsoft.DevOpsInfrastructure/pools@2025-01-21' = {
  name: 'fabrikam-managed-pool'
  location: 'eastus'
  properties: {
    organizationProfile: {
      organizations: [
        {
          url: 'https://dev.azure.com/fabrikam-tailspin'
          projects: []
          parallelism: 4
        }
      ]
      permissionProfile: {
        kind: 'CreatorOnly'
      }
      kind: 'AzureDevOps'
    }
  }
}

В organizationProfile разделе содержатся следующие свойства.

Чтобы использовать пул с несколькими организациями Azure DevOps, включите использование пула в нескольких организациях. Для каждой организации укажите проекты, которым разрешено использовать пул, или оставьте это поле пустым, чтобы разрешить все проекты. Настройте параллелизм для каждой организации, указав, какие части одновременности нужно выделить каждой организации, как указано максимальным значением агентов для пула. Сумма параллелизма для всех организаций должна соответствовать максимальному параллелизму пула. Например, если для максимального числа агентов задано значение пять, сумма параллелизма для указанных организаций должна быть пятью. Если для параметра "Максимальное число агентов " задано одно значение, пул можно использовать только с одной организацией.

В следующем примере пул настроен так, чтобы быть доступным для проектов FabrikamResearch и FabrikamTest в организации fabrikam-tailspin, а также для всех проектов в организации fabrikam-blue.

Если возникает ошибка The sum of parallelism for all organizations must equal the max concurrency, убедитесь, что максимальное число агентов для пула соответствует сумме столбца Parallelism .

Чтобы настроить пул таким образом, чтобы несколько организаций могли использовать его, добавьте дополнительные организации в список организаций. В следующем примере настроены две организации. Первая организация настроена на использование управляемых пулов DevOps для всех проектов, а вторая организация может использовать ее только с двумя проектами. В этом примере максимальный параметр агентов для пула составляет четыре, и каждая организация может использовать два из этих четырех агентов.

"organizationProfile": {
    "organizations": [
        {
            "url": "https://dev.azure.com/fabrikam-tailspin",
            "projects": [],
            "parallelism": 2
        },
        {
            "url": "https://dev.azure.com/fabrikam-prime",
            "projects": [ "fabrikam-dev", "fabrikam-test" ],
            "parallelism": 2
        }
    ],
    "permissionProfile": {
        "kind": "CreatorOnly"
    },
    "kind": "AzureDevOps"
}

Организации можно настроить в параметре organization-profile при создании или обновлении пула.

az mdp pool create \
   --organization-profile organization-profile.json
   # other parameters omitted for space

Чтобы настроить пул таким образом, чтобы несколько организаций могли использовать его, добавьте дополнительные организации в список организаций. В следующем примере настроены две организации. Первая организация настроена на использование управляемых пулов DevOps для всех проектов, а вторая организация может использовать ее только с двумя проектами. В этом примере максимальный параметр агентов для пула составляет четыре, и каждая организация может использовать два из этих четырех агентов.

{
  "AzureDevOps":
  {
      "organizations": [
        {
            "url": "https://dev.azure.com/fabrikam-tailspin",
            "projects": [],
            "parallelism": 2
        },
        {
            "url": "https://dev.azure.com/fabrikam-prime",
            "projects": [ "fabrikam-dev", "fabrikam-test" ],
            "parallelism": 2
        }
    ]
  }
}

Чтобы настроить пул таким образом, чтобы несколько организаций могли использовать его, добавьте дополнительные организации в список организаций. В следующем примере настроены две организации. Первая организация настроена на использование управляемых пулов DevOps для всех проектов, а вторая организация может использовать ее только с двумя проектами. В этом примере максимальный параметр агентов для пула составляет четыре, и каждая организация может использовать два из этих четырех агентов.

organizationProfile: {
  organizations: [
    {
      url: 'https://dev.azure.com/fabrikam-tailspin'
      projects: []
      parallelism: 2
    }
    {
      url: 'https://dev.azure.com/fabrikam-prime'
      projects: ['fabrikam-dev', 'fabrikam-test']
      parallelism: 2
    }
  ]
  permissionProfile: {
    kind: 'CreatorOnly'
  }
  kind: 'AzureDevOps'
}

Чтобы настроить доступ к пулу из всех конвейеров в указанных проектах, включите разрешить всем конвейерам работать в пуле без утверждения (открытого доступа).

• Если для настройки добавления пула ко всем проектам выбрано значение "Да", то управляемые пулы DevOps настраивают открытый доступ для всех конвейеров во всех проектах.
• Если для всех проектов установлено значение "Нет" для параметра "Добавить пул", управляемые пулы DevOps настраивают открытый доступ для всех конвейеров только в перечисленных проектах.

Если включить пул использования в нескольких организациях, можно указать открытый доступ по отдельности для каждой организации.

Организации можно настроить в свойстве organizationProfile ресурса Managed DevOps Pools. В примере ниже настроены параметры двух организаций.

• Организация fabrikam-tailspin настроена с открытым доступом во всех проектах.
• Организация fabrikam-prime настроена для обеспечения доступности с двумя проектами, при этом Open Access включен только в этих двух проектах.

"organizationProfile": {
    "organizations": [
        {
            "url": "https://dev.azure.com/fabrikam-tailspin",
            "projects": [],
            "openAccess": true,
            "parallelism": 2
        },
        {
            "url": "https://dev.azure.com/fabrikam-prime",
            "projects": [ "fabrikam-dev", "fabrikam-test" ],
            "openAccess": true,
            "parallelism": 2
        }
    ],
    "permissionProfile": {
        "kind": "CreatorOnly"
    },
    "kind": "AzureDevOps"
}

Открыть доступ можно только при создании пула. Чтобы изменить параметр Open access после создания пула (включая добавление или удаление проектов из конфигурации управляемых пулов DevOps), необходимо вручную настроить открытый доступ в соответствующем пуле агентов в Azure DevOps для каждого проекта, использующего пул.

В параметре organization-profile можно настроить openAccess при создании пула.

az mdp pool create \
   --organization-profile organization-profile.json
   # other parameters omitted for space

В следующем orgaization-profile примере настроены две организации:

• Организация fabrikam-tailspin настроена с открытым доступом во всех проектах.
• Организация fabrikam-prime настроена для обеспечения доступности с двумя проектами, при этом Open Access включен только в этих двух проектах.

{
  "AzureDevOps":
  {
      "organizations": [
        {
            "url": "https://dev.azure.com/fabrikam-tailspin",
            "projects": [],
            "parallelism": 2
        },
        {
            "url": "https://dev.azure.com/fabrikam-prime",
            "projects": [ "fabrikam-dev", "fabrikam-test" ],
            "parallelism": 2
        }
    ]
  }
}

Открыть доступ можно только при создании пула. Чтобы изменить параметр Open access после создания пула (включая добавление или удаление проектов из конфигурации управляемых пулов DevOps), необходимо вручную настроить открытый доступ в соответствующем пуле агентов в Azure DevOps для каждого проекта, использующего пул.

Организации можно настроить в свойстве organizationProfile ресурса Managed DevOps Pools. В следующем примере настроены две организации:

• Организация fabrikam-tailspin настроена с открытым доступом во всех проектах.
• Организация fabrikam-prime настроена для обеспечения доступности с двумя проектами, при этом Open Access включен только в этих двух проектах.

organizationProfile: {
  organizations: [
    {
      url: 'https://dev.azure.com/fabrikam-tailspin'
      projects: []
      openAccess: true
      parallelism: 2
    }
    {
      url: 'https://dev.azure.com/fabrikam-prime'
      projects: ['fabrikam-dev', 'fabrikam-test']
      openAccess: true
      parallelism: 2
    }
  ]
  permissionProfile: {
    kind: 'CreatorOnly'
  }
  kind: 'AzureDevOps'
}

Открыть доступ можно только при создании пула. Чтобы изменить параметр Open access после создания пула (включая добавление или удаление проектов из конфигурации управляемых пулов DevOps), необходимо вручную настроить открытый доступ в соответствующем пуле агентов в Azure DevOps для каждого проекта, использующего пул.

Настроить интерактивный режим osProfile можно в разделе свойства fabricProfile. Установите logonType на Interactive, чтобы включить интерактивный режим, или на Service, чтобы отключить интерактивный режим.

{
    "$schema": "https://schema.management.azure.com/schemas/2019-04-01/deploymentTemplate.json#",
    "contentVersion": "1.0.0.0",
    "resources": [
        {
            "name": "fabrikam-managed-pool",
            "type": "microsoft.devopsinfrastructure/pools",
            "apiVersion": "2025-01-21",
            "location": "eastus",
            "properties": {
            ...
            "fabricProfile": {
                "sku": {...},
                "images": [...],
                "osProfile": {
                    "secretsManagementSettings": {...},
                    "logonType": "Interactive"
                },
                "storageProfile": {...},
                "kind": "Vmss"
            }
        }
    ]
}

Интерактивный режим можно настроить с помощью logonType свойства в osProfile разделе в параметре fabric-profile при создании или обновлении пула.

az mdp pool create \
   --fabric-profile fabric-profile.json
   # other parameters omitted for space

В следующем примере показан osProfile раздел файлаfabric-profile.json при включённом режиме Interactive.

{
  "vmss": {
    "sku": {...},
    "images": [...],
    "osProfile": {
      "secretsManagementSettings": {...},
      "logonType": "Interactive"
    },
    "storageProfile": {...}
  }
}

Интерактивный режим настраивается в разделе свойства osProfilefabricProfile. Установите logonType на Interactive, чтобы включить интерактивный режим, или на Service, чтобы отключить интерактивный режим.

resource managedDevOpsPools 'Microsoft.DevOpsInfrastructure/pools@2025-01-21' = {
  name: 'fabrikam-managed-pool'
  location: 'eastus'
  properties: {
    fabricProfile: {
      sku: {...}
      images: [...]
      osProfile: {
        secretsManagementSettings: {...}
        logonType: 'Interactive'
      }
      storageProfile: {...}
      kind: 'Vmss'
    }
  }
}

• Только создатель: этот параметр добавляет пользователя, который создал управляемый пул DevOps, в качестве администратора пула агентов Azure DevOps и устанавливает для параметра Наследование значение «Отключено» в настройках безопасности пула агентов. Только создатель — это параметр по умолчанию.
• Наследование разрешений от проекта: этот параметр добавляет пользователя, создавшего управляемый пул DevOps в качестве администратора пула агентов Azure DevOps, и задает значение "Наследованиевключено " в параметрах безопасности пула агентов.
• Конкретные учетные записи. Этот параметр можно использовать для указания учетных записей, которые необходимо добавить в качестве администраторов пула агентов в Azure DevOps. По умолчанию создатель пула включен.

Вы можете настроить параметры разрешений администрирования пула на вкладке "Безопасность " при создании пула. Он не отображается в параметрах безопасности после создания пула. Сведения о просмотре разрешений пула агентов Azure DevOps и управлении ими после создания пула см. в статье "Создание пулов агентов и управление ими" — безопасность пулов агентов.

Разрешения на администрирование пула permissionsProfile можно настроить в свойстве organizationProfile раздела ресурса "Managed DevOps Pools".

{
"organizationProfile": {
    "organizations": [...],
    "permissionProfile": {
        "kind": "CreatorOnly"
    },
    "kind": "AzureDevOps"
}

Вы можете задать это свойство permissionProfile только при создании пула. Допустимые значения: Inherit, CreatorOnly и SpecificAccounts.

• CreatorOnly: этот параметр добавляет пользователя, создавшего управляемый пул DevOps, в качестве администратора пула агентов Azure DevOps, и устанавливает для параметра Наследование значение Выключено в настройках безопасности пула агентов. Только создатель — это параметр по умолчанию.
• Inherit: этот параметр добавляет пользователя, создавшего управляемый пул DevOps в качестве администратора пула агентов Azure DevOps, и задает значение "Наследованиевключено " в параметрах безопасности пула агентов.
• SpecificAccounts. Этот параметр можно использовать для указания учетных записей, которые необходимо добавить в качестве администраторов пула агентов в Azure DevOps. По умолчанию создатель пула включен.

"organizationProfile": {
    "organizations": [...],
    "permissionProfile": {
      "kind": "SpecificAccounts",
      "users" : ["[email protected]", "[email protected]" ]
    },
    "kind": "AzureDevOps"
}

При organization-profile пула можно настроить разрешения администрирования пула в параметре.

az mdp pool create \
   --organization-profile organization-profile.json
   # other parameters omitted for space

{
  "AzureDevOps":
  {
    "organizations":  [...],
    "permissionProfile": {
        "kind": "CreatorOnly"
    }
  }
}

Вы можете задать это свойство permissionProfile только при создании пула. Допустимые значения: Inherit, CreatorOnly и SpecificAccounts.

• CreatorOnly: Этот параметр добавляет пользователя, создавшего управляемый пул DevOps, в качестве администратора пула агентов Azure DevOps, и отключает наследование в настройках безопасности пула агентов. Только создатель — это параметр по умолчанию.
• Inherit: этот параметр добавляет пользователя, создавшего управляемый пул DevOps в качестве администратора пула агентов Azure DevOps, и задает значение "Наследованиевключено " в параметрах безопасности пула агентов.
• SpecificAccounts. Этот параметр можно использовать для указания учетных записей, которые необходимо добавить в качестве администраторов пула агентов в Azure DevOps. По умолчанию создатель пула включен. Укажите один адрес электронной почты или список адресов электронной почты для users свойства. В противном случае опустим users.

{
  "AzureDevOps" : {
    "organizationProfile": {
      "organizations": [...],
      "permissionProfile": {
        "kind": "SpecificAccounts",
        "users" : ["[email protected]", "[email protected]" ]
      }
    }
  }
}

Разрешения на администрирование пула permissionsProfile можно настроить в свойстве organizationProfile раздела ресурса "Managed DevOps Pools".

organizationProfile: {
  organizations: [...]
  permissionProfile: {
    kind: 'CreatorOnly'
  }
  kind: 'AzureDevOps'
}

Вы можете задать это свойство permissionProfile только при создании пула. Допустимые значения: Inherit, CreatorOnly и SpecificAccounts.

• CreatorOnly: Этот параметр добавляет пользователя, создавшего управляемый пул DevOps, в качестве администратора пула агентов Azure DevOps и устанавливает значение "Наследование" на "Выключено" в параметрах безопасности пула агентов. Только создатель — это параметр по умолчанию.
• Inherit: этот параметр добавляет пользователя, создавшего управляемый пул DevOps в качестве администратора пула агентов Azure DevOps, и задает значение "Наследованиевключено " в параметрах безопасности пула агентов.
• SpecificAccounts. Этот параметр можно использовать для указания учетных записей, которые необходимо добавить в качестве администраторов пула агентов в Azure DevOps. По умолчанию создатель пула включен. Укажите один адрес электронной почты или список адресов электронной почты для users свойства. В противном случае опустим users.

organizationProfile: {
  organizations: [...]
  permissionProfile: {
    kind: 'SpecificAccounts'
    users: ['[email protected]', '[email protected]']
  }
  kind: 'AzureDevOps'
}

Интеграцию хранилища ключей можно настроить в settings>Security.

Параметры интеграции хранилища ключей можно настроить только после создания пула. Параметры интеграции хранилища ключей невозможно настроить при создании пула. Они не отображаются на вкладке "Безопасность " во время создания пула.

Azure Key Vault можно настроить в osProfile разделе fabricProfile свойства. Задайте secretManagementSettings для доступа к требуемому сертификату.

{
    "$schema": "https://schema.management.azure.com/schemas/2019-04-01/deploymentTemplate.json#",
    "contentVersion": "1.0.0.0",
    "resources": [
        {
            "name": "fabrikam-managed-pool",
            "type": "microsoft.devopsinfrastructure/pools",
            "apiVersion": "2025-01-21",
            "location": "eastus",
            "properties": {
            ...
            "fabricProfile": {
                "sku": {...},
                "images": [...],
                "osProfile": {
                    "secretsManagementSettings": {
                        "certificateStoreLocation": "LocalMachine",
                        "certificateStoreName": "Root",
                        "observedCertificates": [
                            "https://<keyvault-uri>/secrets/<certificate-name>"
                        ],
                        "keyExportable": false
                    }
                },
                "storageProfile": {...},
                "kind": "Vmss"
            }
        }
    ]
}

Azure Key Vault можно настроить в osProfile разделе fabricProfile свойства при создании или обновлении пула. Установите secretManagementSettings, чтобы получить доступ к нужному сертификату.

az mdp pool create \
   --fabric-profile fabric-profile.json
   # other parameters omitted for space

В следующем примере показан osProfile раздел файла fabric-profile.json с настроенным secretsManagementSettings.

{
  "vmss": {
    "sku": {...},
    "images": [...],
    "osProfile": {
      "secretsManagementSettings": {
          "certificateStoreLocation": "LocalMachine",
          "observedCertificates": [
              "https://<keyvault-uri>/secrets/<certificate-name>"
          ],
          "keyExportable": false
      },
      "logonType": "Interactive"
    },
    "storageProfile": {...}
  }
}

Azure Key Vault можно настроить в osProfile разделе fabricProfile свойства. Задайте secretManagementSettings для доступа к требуемому сертификату.

resource managedDevOpsPools 'Microsoft.DevOpsInfrastructure/pools@2025-01-21' = {
  name: 'fabrikam-managed-pool'
  location: 'eastus'
  properties: {
    fabricProfile: {
      sku: {...}
      images: [...]
      osProfile: {
        secretsManagementSettings: {
          certificateStoreLocation: 'LocalMachine'
          certificateStoreName: 'Root'
          observedCertificates: 'https://<keyvault-uri>/secrets/<certificate-name>'
          keyExportable: false
        }
      }
      kind: 'Vmss'
    }
  }
}

Для Windows можно задать значение LocalMachine" или CurrentUser". Этот параметр гарантирует, что секрет установлен в этом расположении на компьютере. Сведения о том, как работает извлечение секретов, см. в расширении Azure Key Vault для Windows.

Для Linux можно задать значение расположения хранилища сертификатов для любого каталога на компьютере, а сертификаты скачиваются и синхронизируются с этим расположением. Сведения о параметрах по умолчанию и поведении секретов см. в расширении виртуальной машины Azure Key Vault для Linux.