Доступ к Azure DevOps с помощью учетной записи рабочей нагрузки Microsoft Entra

Службы Azure DevOps

Подключение службы Azure DevOps позволяет конвейерам проходить аутентификацию в Azure DevOps без использования личных токенов доступа (PATs) через рабочие удостоверения Microsoft Entra. Субъекты-службы и управляемые удостоверения обращаются к Azure DevOps через федерацию удостоверений рабочего процесса, которая устраняет необходимость в управлении и смене секретов.

Преимущества

• Аутентификация без PAT: устранение необходимости создавать, хранить и выполнять ротацию личных маркеров доступа.
• Наименьшие привилегии: используйте разрешения для каждого конвейера вместо общих разрешений учетной записи службы сборки.
• Улучшенная безопасность: Используйте федеративные учетные данные Entra с автоматической сменой токенов.
• Кросс-организационный доступ: доступ к ресурсам Azure DevOps в разных организациях с помощью одного подключения к службе.
• Audit trail: все попытки проверки подлинности регистрируются в журналах аудита Azure DevOps.

Поддерживаемые сценарии

Подключение службы Azure DevOps поддерживает следующие сценарии:

• Ресурсы репозитория: ознакомьтесь с кодом из репозиториев в организациях Azure DevOps.
• Artifact feeds: Доступ к веб-каналам Azure Artifacts (NuGet, npm, Maven, Python, Cargo, Conda) между организациями без paTs.
• Вызовы API REST: аутентификация к REST API Azure DevOps из встроенных скриптов.
• Extension publishing: публикация расширений в Visual Studio Marketplace.

Необходимые условия

Чтобы создать подключение службы Azure DevOps, вам потребуется:

• Организация Azure DevOps
• Учетная запись службы Entra или управляемая идентификация, используемая для аутентификации
• Creator или Administrator роли для соединений с сервисами в проекте Azure DevOps, где вы создаете соединение с сервисом. По умолчанию члены группы Endpoint Creators имеют роль Создателя. Дополнительные сведения см. в разделе "Настройка безопасности подключения службы".
• При доступе к ресурсам в разных организациях субъект-служба или управляемое удостоверение нужно добавить как пользователя в каждую целевую организацию.

Шаг 1. Создание подключения к службе в одной организации

Если ваш служебный принципал находится в той же организации Azure DevOps, что и подключение к службе:

Добавьте субъект-службу в вашу организацию

1. В организации Azure DevOps перейдите в раздел Организация параметров>Users.

2. Выберите "Добавить пользователей".

3. Введите сведения об учетной записи службы:

   • Имя: основной службы или имя управляемой идентичности или идентификатор объекта
   • Уровень доступа: выберите соответствующий уровень доступа. Использование "Базовый" для стандартного доступа

4. Назначьте служебный принципал или управляемое удостоверение проекту, где вы создадите подключение к службе, например, добавив его в группу Читатели.

5. Нажмите кнопку "Добавить ", чтобы подтвердить.

6. Назначьте любые дополнительные разрешения уровня ресурса для субъектов-служб или управляемых удостоверений.

Шаг 2. Создание подключения к службе

1. В Azure DevOps project перейдите к Project settings>Service connections.

2. Выберите новое подключение к службе.

3. Выберите Azure DevOps в качестве типа подключения службы.

4. Заполните форму:

   • Удостоверение: Выберите служебный принципал, добавленный в организацию
   • Имя подключения службы: введите описательное имя подключения (например, my-azdo-connection)
   • Описание (необязательно): добавление сведений о назначении подключения

5. Нажмите кнопку "Сохранить", чтобы создать подключение службы.

Создание подключения службы для доступа между организациями

Чтобы получить доступ к ресурсам в организации Azure DevOps, присоединенной к тому же клиенту Azure Entra ID:

1. Выполните действия, описанные в разделе "Создание подключения к службе" в одной организации, но выберите другую организацию при создании подключения к службе.

2. Введите имя целевой Azure DevOps организации.

3. Необходимо также добавить субъект-службу в качестве пользователя в целевой организации.

Использование подключения к службе в конвейере

Ознакомьтесь с репозиториями из разных организаций

pool:
  vmImage: 'ubuntu-latest'

resources:
  repositories:
  - repository: external-repo
    type: git
    endpoint: my-azdo-connection
    name: 'external-project/external-repo'
    ref: 'refs/heads/main'

steps:
- checkout: self
- checkout: external-repo

Ссылка на шаблон из другой организации

resources:
  repositories:
    - repository: templates 
      type: git
      endpoint: my-azdo-connection
      name: 'external-project/external-repo'
      ref: "refs/heads/main"    
      
steps:
- template: azdosc-template.yml@templates

Доступ к потокам артефактов

Используйте подключение службы для задач аутентификации артефактов:

- task: NuGetAuthenticate@1
  inputs:
    nuGetServiceConnections: 'my-azdo-connection'

- task: DotNetCoreCLI@2
  inputs:
    command: 'restore'
    projects: '**/*.csproj'

Вызов Azure DevOps из скрипта

- task: AzureCLI@3
  displayName: Secret-less
  inputs:
    connectionType: 'azureDevOps'
    azureDevOpsServiceConnection: 'my-azdo-connection'
    scriptType: 'pscore'
    scriptLocation: 'inlineScript'
    inlineScript: |
      az rest --method get `
              --url "https://status.dev.azure.com/_apis/status/health?api-version=7.1-preview.1" `
              --resource 499b84ac-1321-427f-aa17-267ca6975798 `
              --query "sort_by(services[?id=='Pipelines'].geographies | [], &name)" `
              -o table

      az devops configure -l

      az devops project list --query "value[].{Name:name, Id:id}" `
                            -o table

      az pipelines pool list --query "[].{Id:id, Name:name}" `
                            -o table

- task: AzureCLI@3
  displayName: Use Entra access token
  inputs:
    connectionType: 'azureDevOps'
    azureDevOpsServiceConnection: 'my-azdo-connection'
    scriptType: 'pscore'
    scriptLocation: 'inlineScript'
    inlineScript: |
      # Get access token for Azure DevOps
      $token = az account get-access-token --resource "499b84ac-1321-427f-aa17-267ca6975798" `
                                           --query "accessToken" `
                                           --output tsv
      
      # Use token in REST API call
      $headers = @{
        Authorization = "Bearer $token"
        "Content-Type" = "application/json"
      }
      
      $body = @{
        name = "Test Build"
      } | ConvertTo-Json
      
      Invoke-RestMethod -Uri "$(System.CollectionUri)$(System.TeamProject)/_apis/build/definitions?api-version=7.1" `
                        -Method POST `
                        -Headers $headers `
                        -Body $body

Задача AzureCLI@3 использует интерфейс командной строки Azure DevOps, который предварительно установлен для агентов, размещенных в Microsoft. Для локально размещенных агентов требуется Azure CLI с azure-devops расширением. azure-devops Если расширение не установлено, задача AzureCLI@3 устанавливает его во время выполнения.

Лучшие практики обеспечения безопасности

• Минимальные разрешения. Назначьте субъекту-службе только необходимые разрешения для конкретных задач конвейера.
• Доступ к аудиту: регулярно просматривайте журналы аудита для мониторинга использования подключения к службе.
• Область применения: Используйте отдельные подключения к службам для разных проектов или организаций, чтобы ограничить общие разрешения.

Troubleshooting

Ошибка создания подключения службы

Причина: Служебный принципал не добавлен в вашу организацию, или у вас нет необходимых разрешений.

Исправление:

• Убедитесь, что вы добавили учетную запись службы в качестве пользователя в вашу организацию.
• Убедитесь, что у вас есть соответствующие разрешения для создания подключений к службе.
• Убедитесь, что субъект-служба имеет необходимый уровень доступа в организации.

Не удается выполнить проверку подлинности конвейера

Причина: Имя сервисного подключения не совпадает со ссылкой в YAML, или учетная запись службы не имеет разрешений на целевые ресурсы.

Исправление:

• Убедитесь, что имя подключения к службе в YAML конвейера соответствует имени, которое вы создали.
• Убедитесь, что субъект-служба имеет соответствующие разрешения для доступных ресурсов.
• Проверьте аудиторские журналы Azure DevOps для ошибок аутентификации.
• Перейдите к часто задаваемым вопросам о служебных учетных записях и управляемых удостоверениях.
• Для кодов состояния AADSTS Microsoft Entra ознакомьтесь с списком сообщений ошибок.

Доступ между организациями не работает

Причина: Вы не добавили сервисный принципал в качестве пользователя в обе организации или неправильно указали название целевой организации.

Исправление:

• Добавьте субъект-службу в качестве пользователя в обеих организациях.
• Убедитесь, что имя целевой организации правильно указано в конфигурации подключения службы.
• Убедитесь, что служебный принципал имеет необходимые права доступа в целевой организации.

Распространенные сообщения об ошибках

сообщения об ошибках Microsoft Entra ID

В следующей таблице перечислены распространенные коды ошибок Microsoft Entra ID и возможные проблемы, связанные с установлением подключений службы идентификации рабочих нагрузок.

Вы видите ошибку AADSTS, которая не указана выше? Проверьте коды ошибок проверки подлинности и авторизации Microsoft Entra.

Дальнейшие действия

• Используйте подключения служб в конвейере.
• Управление подключениями к службе.
• Сведения о федерации удостоверений рабочей нагрузки.