Acceso a Azure DevOps con la identidad de carga de trabajo de Microsoft Entra

Azure DevOps Services

Una conexión de servicio de Azure DevOps permite que las canalizaciones se autentiquen en Azure DevOps sin tokens de acceso personal (PAT) mediante las identidades de carga de trabajo de Microsoft Entra. Entidades de servicio e identidades administradas acceden a Azure DevOps a través de federación de identidades de carga de trabajo, un método sin secreto que elimina la necesidad de administrar y rotar secretos.

Beneficios

• Autenticación sin PAT: elimine la necesidad de crear, almacenar y rotar tokens de acceso personal.
• Privilegios mínimos: Use permisos por tubería en lugar de permisos compartidos de cuenta de servicio de compilación.
• Seguridad mejorada: use credenciales federadas de Entra con rotación automática de tokens.
• Acceso entre organizaciones: Acceda a los recursos de Azure DevOps en diferentes organizaciones mediante una única conexión de servicio única.
• Audit trail: todos los intentos de autenticación se registran en los registros de auditoría de Azure DevOps.

Escenarios compatibles

La conexión de servicio Azure DevOps admite estos escenarios:

• Repository resources: Consulte el código de repositorios de diferentes organizaciones Azure DevOps.
• Flujos de artefactos: Acceda a los flujos de Azure Artifacts (NuGet, npm, Maven, Python, Cargo, Conda) en todas las organizaciones sin necesidad de tokens de acceso personal (PAT).
• Llamadas a la API REST: Autenticarse en las APIs REST de Azure DevOps desde scripts insertados.
• Extension publishing: Publicar extensiones en Visual Studio Marketplace.

Prerrequisitos

Para crear una conexión de servicio Azure DevOps, necesita:

• Una organización de Azure DevOps
• Una entidad de servicio de Entra o una identidad administrada que se utilizará para la autenticación
• Creator o Administrator rol para las conexiones de servicio en el proyecto de Azure DevOps donde se crea la conexión de servicio. De forma predeterminada, los miembros del grupo Creadores de Endpoints tienen el rol Creador. Para más información, consulte Establecimiento de la seguridad de la conexión de servicio.
• Al acceder a recursos entre organizaciones, la entidad de servicio o la identidad administrada debe añadirse como usuario a cada organización de destino.

Paso 1: Crear una conexión de servicio dentro de la misma organización

Si el principal de servicio está en la misma organización de Azure DevOps que la conexión de servicio:

Agregue la entidad de servicio a su organización

1. En la organización de Azure DevOps, vaya a Configuración de organización>Usuarios.

2. Seleccione Agregar usuarios.

3. Escriba los detalles de la entidad de servicio:

   • Nombre: el nombre de la entidad de servicio o de la identidad administrada, o el identificador de objeto
   • Nivel de acceso: seleccione el nivel de acceso adecuado. Usar Básico para acceso estándar

4. Asigna la entidad de servicio o la identidad administrada al proyecto donde crearás la conexión de servicio, por ejemplo, agregándola al grupo Lectores.

5. Seleccione Agregar para confirmar.

6. Asigna permisos adicionales a nivel de recurso a la entidad de servicio o a la identidad administrada.

Paso 2: Creación de la conexión de servicio

1. En su proyecto de Azure DevOps, vaya a Configuración del Proyecto>Conexiones de servicio.

2. Seleccione Nueva conexión de servicio.

3. Seleccione Azure DevOps como tipo de conexión de servicio.

4. Complete el formulario:

   • Identidad: Seleccione el principal de servicio que agregó a su organización.
   • Nombre de conexión de servicio: escriba un nombre descriptivo para la conexión (por ejemplo, my-azdo-connection).
   • Descripción (opcional): agregar detalles sobre el propósito de la conexión

5. Seleccione Guardar para crear la conexión de servicio.

Creación de una conexión de servicio para el acceso entre organizaciones

Para acceder a los recursos de una organización de Azure DevOps diferente unida al mismo inquilino de Entra ID:

1. Siga los pasos descritos en Creación de una conexión de servicio dentro de la misma organización, pero seleccione Organización diferente al crear la conexión de servicio.

2. Escriba el nombre del Azure DevOps organización de destino.

3. También debe agregar la entidad de servicio como usuario en la organización de destino.

Utiliza la conexión de servicio en la canalización

Consultar repositorios de diferentes organizaciones

pool:
  vmImage: 'ubuntu-latest'

resources:
  repositories:
  - repository: external-repo
    type: git
    endpoint: my-azdo-connection
    name: 'external-project/external-repo'
    ref: 'refs/heads/main'

steps:
- checkout: self
- checkout: external-repo

Hacer referencia a una plantilla de otra organización

resources:
  repositories:
    - repository: templates 
      type: git
      endpoint: my-azdo-connection
      name: 'external-project/external-repo'
      ref: "refs/heads/main"    
      
steps:
- template: azdosc-template.yml@templates

Acceso a repositorios de artefactos

Usa la conexión del servicio para las tareas de autenticación de artefactos.

- task: NuGetAuthenticate@1
  inputs:
    nuGetServiceConnections: 'my-azdo-connection'

- task: DotNetCoreCLI@2
  inputs:
    command: 'restore'
    projects: '**/*.csproj'

Llamar a Azure DevOps desde un script

- task: AzureCLI@3
  displayName: Secret-less
  inputs:
    connectionType: 'azureDevOps'
    azureDevOpsServiceConnection: 'my-azdo-connection'
    scriptType: 'pscore'
    scriptLocation: 'inlineScript'
    inlineScript: |
      az rest --method get `
              --url "https://status.dev.azure.com/_apis/status/health?api-version=7.1-preview.1" `
              --resource 499b84ac-1321-427f-aa17-267ca6975798 `
              --query "sort_by(services[?id=='Pipelines'].geographies | [], &name)" `
              -o table

      az devops configure -l

      az devops project list --query "value[].{Name:name, Id:id}" `
                            -o table

      az pipelines pool list --query "[].{Id:id, Name:name}" `
                            -o table

- task: AzureCLI@3
  displayName: Use Entra access token
  inputs:
    connectionType: 'azureDevOps'
    azureDevOpsServiceConnection: 'my-azdo-connection'
    scriptType: 'pscore'
    scriptLocation: 'inlineScript'
    inlineScript: |
      # Get access token for Azure DevOps
      $token = az account get-access-token --resource "499b84ac-1321-427f-aa17-267ca6975798" `
                                           --query "accessToken" `
                                           --output tsv
      
      # Use token in REST API call
      $headers = @{
        Authorization = "Bearer $token"
        "Content-Type" = "application/json"
      }
      
      $body = @{
        name = "Test Build"
      } | ConvertTo-Json
      
      Invoke-RestMethod -Uri "$(System.CollectionUri)$(System.TeamProject)/_apis/build/definitions?api-version=7.1" `
                        -Method POST `
                        -Headers $headers `
                        -Body $body

La tarea AzureCLI@3 usa la Azure DevOps CLI, que está preinstalada en agentes hospedados de Microsoft. En los agentes autohospedados, usted necesita el Azure CLI con la extensión azure-devops. Si la azure-devops extensión no está instalada, la tarea AzureCLI@3 la instala en tiempo de ejecución.

Prácticas recomendadas de seguridad

• Permisos mínimos: asigne a la entidad de servicio solo los permisos que necesita para las tareas de canalización específicas.
• Auditoría de accesos: revise periódicamente los registros de auditoría para supervisar el uso de la conexión de servicio.
• Uso del ámbito: use conexiones de servicio independientes para distintos proyectos u organizaciones para limitar los permisos compartidos.

Solución de problemas

Error en la creación de la conexión de servicio

Causa: La entidad de servicio no se ha agregado a su organización o carece de los permisos necesarios.

Reparar:

• Compruebe que agregó el principal de servicio como usuario a su organización.
• Compruebe que tiene los permisos adecuados para crear conexiones de servicio.
• Asegúrese de que el principal del servicio tiene el nivel de acceso necesario en la organización.

La canalización no se puede autenticar

Causa: El nombre de la conexión de servicio no coincide con la referencia de YAML o la entidad de servicio carece de permisos para los recursos de destino.

Reparar:

• Compruebe que el nombre de la conexión de servicio en la canalización YAML coincide con el nombre que creó.
• Compruebe que la entidad de servicio tiene los permisos adecuados para los recursos a los que está accediendo.
• Compruebe Azure DevOps registros de auditoría para ver si hay errores de autenticación.
• Consulte las preguntas más frecuentes sobre las entidades de servicio y las identidades administradas.
• Para los códigos de estado de AADSTS de Microsoft Entra, revise la lista de mensajes de error.

El acceso entre organizaciones no funciona

Causa: No ha agregado la entidad de servicio como usuario en ambas organizaciones o ha escrito mal el nombre de la organización de destino.

Reparar:

• Agregue el service principal como usuario en ambas organizaciones.
• Compruebe que el nombre de la organización de destino está escrito correctamente en la configuración de conexión de servicio.
• Compruebe que la entidad de servicio tiene los permisos necesarios en la organización de destino.

Mensajes de error comunes

mensajes de error de Microsoft Entra ID

La tabla siguiente enumera los códigos de error comunes de Microsoft Entra ID y los posibles inconvenientes relacionados con las conexiones del servicio de identidad de carga de trabajo.

¿El error AADSTS que ve no figura en la lista anterior? Compruebe Microsoft Entra códigos de error de autenticación y autorización.

Pasos siguientes

• Utilice conexiones de servicio en su pipeline.
• Administrar conexiones de servicio.
• Obtenga información sobre la federación de identidades de carga de trabajo.