Устранение неполадок Azure Resource Manager подключений к службе

Службы Azure DevOps | Azure DevOps Server | Azure DevOps Server 2022

В этой статье представлены распространенные сценарии устранения неполадок, которые помогут устранить проблемы, которые могут возникнуть при создании подключения службы Azure Resource Manager (ARM). Сведения о создании, изменении и защите подключений к службам см. в статье "Управление подключениями к службе". См. раздел Устранение проблем с подключением службы удостоверений для рабочей нагрузки в Azure Resource Manager, чтобы узнать, как исправить проблемы, связанные с удостоверениями для рабочей нагрузки.

В этой статье используются термины "тенант" и "каталог", способы использования которых могут пересекаться. Клиент — это выделенный изолированный экземпляр Microsoft Entra ID, который ваша организация получает и управляет всеми удостоверениями и контролем доступа для облачных служб. Каталог — это контейнер в этом клиенте, в котором хранятся такие объекты, как пользователи, группы и приложения, используемые для управления доступом к ресурсам.

Что происходит при создании подключения службы Azure Resource Manager

Существует несколько вариантов проверки подлинности для подключения к Azure с подключением службы Azure Resource Manager. Рекомендуется использовать федерацию удостоверений рабочей нагрузки с регистрацией приложения или управляемым удостоверением.

При успешном выполнении процесса создания подключения службы Azure DevOps автоматически выполняет эти действия в клиенте Microsoft Entra. Если во время этого процесса возникают ошибки, ознакомьтесь со следующими сценариями устранения неполадок.

При сохранении нового подключения службы Azure Resource Manager Azure DevOps выполняет следующие действия:

1. Подключается к клиенту Microsoft Entra для выбранной подписки.
2. Создает приложение в Entra ID от имени пользователя.
3. Назначает приложение участником выбранной подписки.
4. Создает подключение службы Azure Resource Manager с помощью сведений об этом приложении.

У пользователя есть только гостевые разрешения в каталоге.

Эта ошибка возникает во время процесса автоматического создания подсоединения к службе, когда Azure DevOps пытается создать приложение и назначить разрешения в Microsoft Entra ID (шаги 2–3 в Что происходит при создании подсоединения службы Azure Resource Manager). Это происходит, когда пользователь с только гостевыми разрешениями в каталоге Microsoft Entra ID пытается создать подключение службы Azure Resource Manager в Azure DevOps но имеет недостаточно разрешений.

Для разрешения этой проблемы:

1. Войдите на портал Azure с помощью учетной записи администратора. Учетная запись должна быть владельцем или администратором учетной записи пользователя.

2. Выберите Microsoft Entra ID в левой панели навигации.

3. Убедитесь, что вы редактируете каталог, соответствующий подписке пользователя. В противном случае выберите "Переключить каталог " и войдите с соответствующими учетными данными при необходимости.

4. Выберите "Пользователи" в разделе "Управление ".

5. Выберите Параметры пользователя.

6. Выберите "Управление параметрами внешней совместной работы" в разделе "Внешние пользователи".

7. Изменение разрешений гостевого пользователя ограничено значением "Нет".

Кроме того, если вы готовы предоставить пользователю разрешения на уровне администратора, можно сделать пользователя членом администраторской роли. Выполните следующие действия.

1. Войдите на портал Azure с помощью учетной записи администратора. Учетная запись должна быть владельцем или администратором учетной записи пользователя.

2. Выберите Microsoft Entra ID в области навигации слева.

3. Убедитесь, что вы редактируете каталог, соответствующий подписке пользователя. В противном случае выберите "Переключить каталог " и войдите с соответствующими учетными данными при необходимости.

4. Выберите "Пользователи" в разделе "Управление ".

5. Используйте поле поиска, чтобы найти пользователя, которым требуется управлять.

6. Выберите роль каталога в разделе "Управление " и измените ее. Выберите Сохранить, когда вы закончите.

Обычно для глобального применения изменений требуется от 15 до 20 минут. Затем пользователь может попытаться восстановить подключение службы.

Пользователь не авторизован для добавления приложений в каталог

Эта ошибка возникает во время процесса автоматического создания подключения к службе при попытке Azure DevOps создать приложение в Microsoft Entra ID от вашего имени (шаг 2 в Несколько происходит при создании подключения службы Azure Resource Manager). У вас нет разрешения на добавление интегрированных приложений в каталог. Администратор каталога имеет разрешения на изменение этого параметра.

Для разрешения этой проблемы:

1. Выберите Microsoft Entra ID в области навигации слева.

2. Убедитесь, что вы редактируете каталог, соответствующий подписке пользователя. В противном случае выберите "Переключить каталог " и войдите с соответствующими учетными данными при необходимости.

3. Выберите "Пользователи", а затем выберите "Параметры пользователя".

4. В разделе App registrations измените параметр Пользователи могут регистрировать приложения на Да.

Не удалось получить маркер доступа или действительный маркер обновления не найден

Эти ошибки обычно возникают при истечении срока действия сеанса.

Чтобы устранить эти проблемы, выполните следующие действия.

1. Выйти из Azure DevOps.

2. Откройте окно браузера InPrivate или incognito и перейдите к Azure DevOps.

3. Войдите с соответствующими учетными данными.

4. Выберите свою организацию и проект.

5. Повторите попытку создать подключение к службе. Подробные инструкции см. в разделе "Управление подключениями к службе".

Похоже, у вас нет активной подписки Azure при попытке редактировать или создать новое подключение к службе.

Эта ошибка обычно возникает, когда вы являетесь частью нескольких клиентов Entra ID.

Для разрешения этой проблемы:

1. Перейдите к профилю VS.

2. Проверьте наличие нескольких клиентов.

3. Выберите каждого арендатора, а затем повторно выполните проверку подлинности.

4. Попробуйте создать подключение к службе, а затем проверьте, загружается ли подписка.

Не удалось назначить роль участника

Эта ошибка возникает во время процесса автоматического создания подключения к службе при попытке Azure DevOps назначить приложение участником подписки (шаг 3 в Несколько происходит при создании подключения службы Azure Resource Manager). Эта ошибка обычно возникает, если у вас нет разрешения Write для выбранной подписки Azure.

Чтобы устранить эту проблему, попросите администратора подписки назначить соответствующую роль в Microsoft Entra ID.

Подписка не указана при создании подключения к службе

Существует несколько возможных причин этой проблемы.

• Превышено максимальное количество в 50 подписок Azure, перечисленных в различных раскрывающихся меню подписки Azure (выставление счетов, подключение к службе и т. д.): Если вы настраиваете подключение к службе и у вас более 50 подписок Azure, некоторые из ваших подписок не отображаются. В этом сценарии выполните следующие действия.

  1. Создайте нового встроенного пользователя Microsoft Entra в экземпляре Microsoft Entra вашей подписки Azure.

  2. Настройте пользователя Microsoft Entra так, чтобы у него были необходимые разрешения для настройки биллинга или создания подключений к службам. Дополнительные сведения см. в разделе Добавьте пользователя, который может настроить выставление счетов для Azure DevOps.

  3. Добавьте пользователя Microsoft Entra в организацию Azure DevOps с уровнем доступа Stakeholder, а затем добавьте его в группу Администраторы коллекции проектов (для выставления счетов) или убедитесь, что у пользователя есть достаточные разрешения в команде проекта для создания подключений к службе.

  4. Войдите в Azure DevOps с помощью новых учетных данных пользователя и настройте выставление счетов. В списке отображается только одна Azure подписка.

• Старый токен пользователя, кэшированный в службах Azure DevOps: Если подписка Azure не отображается при создании подключения службы Azure Resource Manager (ARM), это возможно из-за старого токена пользователя, кэшированного в службах Azure DevOps. Этот сценарий не сразу очевиден, так как экран списка Azure подписок не отображает никаких ошибок или предупреждений, указывающих, что маркер пользователя устарел. Чтобы устранить эту проблему, вручную обновите кэшированный маркер пользователя в службах Azure DevOps, выполнив следующие действия.

  1. Выйдите из служб Azure DevOps и снова войдите. Это действие может обновить маркер пользователя.
  2. Снимите кэш браузера и файлы cookie, чтобы убедиться, что старые маркеры удалены.
  3. На портале Azure DevOps перейдите к подключениям службы и повторно выполните проверку подлинности подключения к Azure. На этом шаге Azure DevOps будет предложено использовать новый маркер.

• Неверные параметры типов учетных записей поддержки: Исправлена эта проблема, изменив параметры поддерживаемых типов учетных записей и определив, кто может использовать приложение. Выполните следующие действия:

  1. Войдите на портал Azure.

  2. Если у вас есть доступ к нескольким клиентам, используйте фильтр каталога и подписки в верхнем меню, чтобы выбрать клиент, в котором требуется зарегистрировать приложение.

     

  3. Выберите Microsoft Entra ID на левой панели.

  4. Выберите Регистрация приложений.

  5. Выберите приложение из списка зарегистрированных приложений.

  6. В разделе "Проверка подлинности" выберите поддерживаемые типы учетных записей.

  7. В разделе "Поддерживаемые типы учетных записей", кто может использовать это приложение или получить доступ к этому API? Выберите учетные записи в любом каталоге организации.

     

  8. Выберите Сохранить, когда вы закончите.

Срок действия объекта службы или секрета истек

Azure DevOps автоматически создаваемые субъекты-службы или секреты имеют срок действия и требуют продления. Если возникли проблемы с обновлением токена, см. "Не удалось получить токен доступа или не найден действительный токен обновления". Чтобы избежать необходимости обновлять секреты, используйте федерацию удостоверений рабочих нагрузок с Azure Resource Manager.

Если срок действия маркера истекает, может появиться одно из следующих сообщений об ошибках:

• AADSTS7000215: Invalid client secret is provided
• AADSTS7000222: The provided client secret keys for app '***' are expired
• Invalid client id or client secret

Чтобы обновить токен доступа для автоматически созданного сервисного принципала или секрета:

1. Перейдите к параметрам Project>Service connections и выберите подключение службы, которое необходимо обновить.

2. Выберите «Повернуть секрет».

   

Токен для вашего служебного принципала или секрета был обновлён ещё на три месяца.

Не удалось получить JWT с помощью идентификатора клиента субъекта-службы

Эта проблема возникает при попытке сохранить подключение службы, если секрет истек или имеются другие проблемы на уровне Microsoft Entra ID.

Подключение к службе в этом состоянии также может не отображаться в раскрывающихся списках задач конвейера (например, Azure App Service Deploy или Azure PowerShell), даже если оно отображается в разделе Параметры проекта>Подключения к службам. Это происходит, когда основной учетная запись службы была удалена или isReady состояние подключения false.

Для разрешения этой проблемы:

1. Перейдите к параметрам Project>Service connections и выберите подключение службы, которое необходимо изменить.
2. Выберите "Изменить", а затем нажмите кнопку "Проверить ", чтобы проверить состояние подключения.
3. Если проверка завершается ошибкой ("Приложение с идентификатором AADSTS700016 не найдено в каталоге"), учетная запись службы была удалена. Создайте новое подключение службы или для ручных подключений обновите подключение с новыми учетными данными субъекта-службы.
4. Если проверка выполнена успешно, нажмите кнопку "Сохранить ", чтобы сохранить подключение к службе.

Подписка на Azure не передается из выходных данных предыдущей задачи

Если вы настраиваете подписку Azure динамически для конвейера релизов и хотите использовать выходную переменную из предыдущей задачи, может возникнуть эта проблема.

Чтобы устранить проблему, убедитесь, что значения определены в разделе переменных конвейера. Затем эту переменную можно передать между задачами конвейера.

Какие механизмы проверки подлинности поддерживаются? Как работают управляемые идентичности?

AuthorizationFailed: The client '<ClientName>' with object id '<ObjectId>' does not have authorization 
to perform action '<ActionName>' over scope '/subscriptions/<SubscriptionId>/...'

Resource not authorized. You need to authorize the resource before it can be used.

I'm getting this Azure DevOps service connection error: [PASTE YOUR ERROR MESSAGE HERE]

Can you help me troubleshoot this issue? Please provide step-by-step instructions to:
1. Identify the root cause
2. Fix the configuration in Azure or Entra ID
3. Verify the solution works

Context: This is for an Azure Resource Manager service connection in Azure DevOps.

Связанные статьи

• Устранение неполадок подключения службы удостоверений рабочей нагрузки в Azure Resource Manager
• Устранение неполадок в потоках данных
• Просмотр журналов для диагностики проблем с конвейером
• Все руководства по устранению неполадок и часто задаваемые вопросы