Accéder à Azure DevOps avec l’identité de charge de travail Microsoft Entra

Azure DevOps Services

Une connexion de service Azure DevOps permet à vos pipelines de s’authentifier auprès de Azure DevOps sans jetons d’accès personnels (PAT) à l’aide de Microsoft Entra identités de charge de travail. Les principaux de service et les identités managées accèdent à Azure DevOps via la fédération d'identité de charges de travail, une méthode sans secret qui élimine la nécessité de gérer et de renouveler les secrets.

Avantages

• Authentification sans mot de passe : éliminez la nécessité de créer, stocker et faire pivoter des jetons d’accès personnels.
• Privilège minimum : utilisez des autorisations par pipeline au lieu des autorisations de compte de service de build partagées.
• Sécurité améliorée : Utilisez les informations d’identification fédérées Entra avec la rotation automatique des jetons.
• Accès inter-organisationnel : Accéder aux ressources Azure DevOps dans différentes organisations via une seule connexion de service.
• Audit trail : toutes les tentatives d’authentification sont enregistrées dans les journaux d’audit d’Azure DevOps.

Scénarios pris en charge

La connexion de service Azure DevOps prend en charge les scénarios suivants :

• Ressources du référentiel : vérifier le code à partir des référentiels dans différentes organisations Azure DevOps.
• flux Artifact : Accéder aux flux d'Azure Artifacts (NuGet, npm, Maven, Python, Cargo, Conda) dans les organisations sans PATs.
• appels d’API REST : s’authentifier auprès des API REST d'Azure DevOps à partir de scripts intégrés.
• Publication des extensions : Publiez des extensions sur le Visual Studio Marketplace.

Prerequisites

Pour créer une connexion de service Azure DevOps, vous avez besoin des éléments suivants :

• Une organisation Azure DevOps
• Un principal de service Entra ou une identité gérée à utiliser pour l’authentification
• Creator ou Administrator pour les connexions de service dans le projet Azure DevOps où vous créez la connexion de service. Par défaut, les membres du groupe Endpoint Creators ont le rôle Creator. Pour plus d’informations, consultez Définir la sécurité de la connexion de service.
• Si vous accédez aux ressources entre les organisations, le principal de service ou l’identité managée doivent être ajoutés en tant qu’utilisateur à chaque organisation cible.

Étape 1 : Créer une connexion de service au sein de la même organisation

Si votre principal de service se trouve dans la même organisation Azure DevOps que la connexion de service :

Ajouter le principal de service à votre organisation

1. Dans votre organisation Azure DevOps, accédez à Organization Settings>Users.

2. Sélectionnez Ajouter des utilisateurs.

3. Entrez les détails du principal de service :

   • Nom : le principal de service ou le nom d’identité managée ou l’ID d’objet
   • Niveau d’accès : sélectionnez le niveau d’accès approprié. Utiliser Basic pour l’accès standard

4. Affectez le principal de service ou l’identité managée au projet dans lequel vous allez créer la connexion de service, par exemple en l’ajoutant au groupe Lecteurs

5. Sélectionnez Ajouter pour confirmer.

6. Attribuer des autorisations de niveau de ressource supplémentaires au principal de service ou à l’identité managée

Étape 2 : Créer la connexion de service

1. Dans votre Azure DevOps project, accédez à Project Settings>Service connections.

2. Sélectionnez Nouvelle connexion de service.

3. Sélectionnez Azure DevOps comme type de connexion de service.

4. Remplissez le formulaire :

   • Identité : sélectionnez le principal de service que vous avez ajouté à votre organisation
   • Nom de la connexion de service : entrez un nom descriptif pour la connexion (par exemple, my-azdo-connection)
   • Description (facultatif) : Ajouter des détails sur l’objectif de la connexion

5. Sélectionnez Enregistrer pour créer la connexion de service.

Créer une connexion de service pour l’accès inter-organisation

Pour accéder aux ressources d’une autre organisation Azure DevOps jointe au même locataire Entra ID :

1. Suivez les étapes décrites dans Créer une connexion de service au sein de la même organisation, mais sélectionnez Autre organisation lors de la création de la connexion de service.

2. Entrez le nom de l’organisation Azure DevOps cible.

3. Vous devez également ajouter le principal de service en tant qu’utilisateur dans l’organisation cible.

Utiliser la connexion de service dans votre pipeline

Consulter les dépôts de différentes organisations

pool:
  vmImage: 'ubuntu-latest'

resources:
  repositories:
  - repository: external-repo
    type: git
    endpoint: my-azdo-connection
    name: 'external-project/external-repo'
    ref: 'refs/heads/main'

steps:
- checkout: self
- checkout: external-repo

Référencer un modèle d’une autre organisation

resources:
  repositories:
    - repository: templates 
      type: git
      endpoint: my-azdo-connection
      name: 'external-project/external-repo'
      ref: "refs/heads/main"    
      
steps:
- template: azdosc-template.yml@templates

Accéder aux flux d’artefacts

Utilisez la connexion de service avec les tâches d’authentification d’artefacts :

- task: NuGetAuthenticate@1
  inputs:
    nuGetServiceConnections: 'my-azdo-connection'

- task: DotNetCoreCLI@2
  inputs:
    command: 'restore'
    projects: '**/*.csproj'

Appeler Azure DevOps à partir d’un script

- task: AzureCLI@3
  displayName: Secret-less
  inputs:
    connectionType: 'azureDevOps'
    azureDevOpsServiceConnection: 'my-azdo-connection'
    scriptType: 'pscore'
    scriptLocation: 'inlineScript'
    inlineScript: |
      az rest --method get `
              --url "https://status.dev.azure.com/_apis/status/health?api-version=7.1-preview.1" `
              --resource 499b84ac-1321-427f-aa17-267ca6975798 `
              --query "sort_by(services[?id=='Pipelines'].geographies | [], &name)" `
              -o table

      az devops configure -l

      az devops project list --query "value[].{Name:name, Id:id}" `
                            -o table

      az pipelines pool list --query "[].{Id:id, Name:name}" `
                            -o table

- task: AzureCLI@3
  displayName: Use Entra access token
  inputs:
    connectionType: 'azureDevOps'
    azureDevOpsServiceConnection: 'my-azdo-connection'
    scriptType: 'pscore'
    scriptLocation: 'inlineScript'
    inlineScript: |
      # Get access token for Azure DevOps
      $token = az account get-access-token --resource "499b84ac-1321-427f-aa17-267ca6975798" `
                                           --query "accessToken" `
                                           --output tsv
      
      # Use token in REST API call
      $headers = @{
        Authorization = "Bearer $token"
        "Content-Type" = "application/json"
      }
      
      $body = @{
        name = "Test Build"
      } | ConvertTo-Json
      
      Invoke-RestMethod -Uri "$(System.CollectionUri)$(System.TeamProject)/_apis/build/definitions?api-version=7.1" `
                        -Method POST `
                        -Headers $headers `
                        -Body $body

La tâche AzureCLI@3 utilise l’interface CLI Azure DevOps qui est préinstallée sur les agents hébergés Microsoft. Sur les agents auto-hébergés, vous avez besoin du Azure CLI avec l’extension azure-devops. Si l’extension azure-devops n’est pas installée, la tâche AzureCLI@3 l’installe au moment de l’exécution.

Bonnes pratiques de sécurité

• Autorisations minimales : attribuez uniquement au principal de service les autorisations dont il a besoin pour vos tâches de pipeline spécifiques.
• Accès à l'audit : passez régulièrement en revue les journaux d’audit pour surveiller l’utilisation de la connexion de service.
• Utilisation de la portée : utilisez des connexions de service distinctes pour différents projets ou organisations afin de limiter les autorisations partagées.

Résolution des problèmes

Échec de la création de la connexion de service

Cause : Le principal de service n’est pas ajouté à votre organisation ou vous ne disposez pas des autorisations requises.

Correctif :

• Vérifiez que vous avez ajouté le principal de service en tant qu’utilisateur à votre organisation.
• Vérifiez que vous disposez des autorisations appropriées pour créer des connexions de service.
• Vérifiez que le principal de service a le niveau d’accès requis dans l’organisation.

Le pipeline ne parvient pas à s’authentifier

Cause : Le nom de la connexion de service ne correspond pas à la référence YAML, ou le principal de service ne dispose pas d’autorisations pour les ressources cibles.

Correctif :

• Vérifiez que le nom de la connexion de service dans votre pipeline YAML correspond au nom que vous avez créé.
• Vérifiez que le principal de service dispose des autorisations appropriées pour les ressources auxquelles vous accédez.
• Vérifiez les journaux d’audit Azure DevOps pour les échecs d’authentification.
• Reportez-vous aux questions fréquemment posées pour les principaux de service et les identités managées.
• Pour les codes d’état AADSTS de Microsoft Entra, consultez la liste des messages d'erreur .

L’accès inter-organisations ne fonctionne pas

Cause : Vous n’avez pas ajouté le principal de service en tant qu’utilisateur dans les deux organisations, ou vous avez mal orthographié le nom de l’organisation cible.

Correctif :

• Ajoutez le principal de service en tant qu’utilisateur dans les deux organisations.
• Vérifiez que le nom de l’organisation cible est correctement orthographié dans la configuration de la connexion de service.
• Vérifiez que le principal de service dispose des autorisations requises dans l’organisation cible.

Messages d'erreur courants

messages d’erreur Microsoft Entra ID

Le tableau suivant répertorie les codes d'erreur courants de Microsoft Entra ID et les problèmes possibles liés aux connexions du service d'identité pour la charge de travail :

L’erreur AADSTS que vous voyez ne figure-t-elle pas dans la liste ci-dessus ? Consultez les codes d'erreur d'authentification et d'autorisation de Microsoft Entra.

Étapes suivantes

• Utilisez des connexions de service dans votre pipeline.
• Gérer les connexions de service.
• Découvrez la fédération des identités de charge de travail.