サービス接続の管理

Azure DevOps サービス |Azure DevOps Server |Azure DevOps Server 2022

この記事では、Azure Pipelinesのサービス接続について説明します。 サービス接続は、Azure Pipelinesと、ジョブでタスクを実行するために使用する外部サービスまたはリモート サービス間の認証された接続です。

たとえば、パイプラインでは、次のカテゴリのサービス接続を使用できます。

• Azure Web サイトのデプロイメントタスクに使用する Azure サブスクリプション。
• GitHub リポジトリへの標準の GitHub Enterprise Server サービス接続など、さまざまなビルド サーバーまたはファイル サーバー。
• オンライン継続的インテグレーション環境 (Git リポジトリの継続的インテグレーションのための Jenkins サービス接続)。
• マネージド サービス ID を持つAzure仮想マシンへのAzure Resource Manager サービス接続など、リモート コンピューターにインストールされたサービス。
• 外部サービス (Docker レジストリ、Kubernetes クラスター、Maven リポジトリへのサービス接続)。

この記事の最初の部分では、サービス接続を作成、表示、編集、使用する方法について説明します。 この記事の 2 番目の部分では、Azure Pipelines サービス接続の種類への参照を提供します。

前提条件

• Azure DevOps プロジェクトとパイプライン。
• サービス接続を作成、表示、使用、または管理するための、適切な割り当て済みユーザー ロール。 詳細については、「サービス接続のアクセス許可」を参照してください。

サービス接続を作成する

サービス接続を表示する

サービス接続に関する情報を表示するには、projectから Project settings>Service connections を選択し、表示するサービス接続を選択します。

• [概要] タブには、接続の種類、作成者、認証の種類など、サービス接続の詳細が表示されます。

  

• [使用履歴] タブには、サービス接続の使用状況の履歴に関する詳細が表示されます。

  

• [承認とチェック] タブには、パイプライン ステージでのサービス接続の使用を許可する承認とチェックが表示されます。 承認とチェックを追加するには、+ 記号または [新規追加] を選択します。

  

サービス接続を編集する

• サービス接続のプロパティを編集するには、サービス接続ページで [編集] を選択します。 編集できるパラメーターは、サービス接続の種類と認証方法によって異なります。

• [その他のオプション] メニューで [セキュリティ] または [削除] を選択することもできます。 セキュリティ アクセス許可の管理について詳しくは、「サービス接続のアクセス許可の設定」をご覧ください。

• 既存の承認とチェックを編集するには、[承認とチェック] タブで、承認の横にある [その他のオプション] メニューを選択します。

サービス接続を使用する

パイプラインでサービス接続を使用するには、次の手順に従います。

• YAML パイプラインの場合、コード内の接続名を azureSubscription またはその他の接続名値として使用します。

  

• クラシック パイプラインの場合は、パイプライン タスクの Azure サブスクリプション またはその他の接続名の設定で接続名を選択します。

  

パイプラインを承認する

• サービス接続を使用する単一のパイプラインを承認するには、次の手順に従います。

  1. パイプライン ページで [パイプラインの実行] を選択して、手動ビルドをキューに登録します。
  2. "この実行を続行するには、リソースにアクセスするためのアクセス許可がこのパイプラインに必要です" というメッセージが表示されます。 メッセージの横にある [表示] を選択します。
  3. [レビューを待機しています] 画面で [許可] を選択し、確認画面で [許可] をもう一度選択します。

  このアクションを選択すると、サービス接続の承認済みユーザーとしてパイプラインが明示的に追加されます。

• サービス接続を使用するすべての既存のパイプラインと将来のパイプラインを承認するには、接続プロパティで [ すべてのパイプラインへのアクセス許可を付与 する] オプションを選択します。 "このオプションは推奨されません"。 代わりに、サービス接続を使用するように各パイプラインを個別に承認します。

一般的なサービス接続の種類

Azure Pipelinesでは、既定で次のサービス接続の種類がサポートされています。 独自のカスタム サービス接続を作成することもできます。

Azure クラシック サービス接続

Azure資格情報またはAzure管理証明書を使用して、Microsoft Azure サブスクリプションへの接続を定義してセキュリティで保護するには、次のパラメーターを使用します。

証明書認証の場合、[確認] を選択して接続情報を検証します。

サブスクリプションが Azure Government Cloud で定義されている場合は、サービス接続を構成する前に、アプリケーションが関連するコンプライアンス要件を満たしていることを確認します。

Azure Repos

基本認証またはトークン ベース認証を使用して、Azure DevOps組織またはプロジェクト コレクションに接続します。 別のAzure DevOps組織への接続を定義してセキュリティで保護するには、次のパラメーターを使用します。

[確認] を選択して、接続情報を検証します。

詳細については、「Azure DevOps」で個人用アクセス トークンを用いたアクセスの認証に関するページを参照してください。

Azure Resource Manager サービス接続

Azure Resource Manager サービスへのサービス接続の作成の詳細については、「Azure Resource Manager サービス接続を使用してAzureに接続するを参照してください。

Azure Service Bus サービス接続

セキュリティを強化するには、Azure Service Bus サービス接続の代わりに Publish To Azure Service Bus v2 タスクを使用してメッセージをAzure Service Busに送信します。 このバージョンのタスクでは、Microsoft Entra IDとワークロード ID のフェデレーションがサポートされます。

Bitbucket Cloud のサービス接続

[認証付与] で OAuth を使用するか、[基本認証] でユーザー名とパスワードを使用して、Bitbucket Cloud への接続を定義します。 パイプラインが機能し続けるためには、リポジトリへのアクセスがアクティブなままである必要があります。

[確認] または [承認] を選択して、接続情報を検証します。

Cargo サービス接続

次のパラメーターを使用して、Cargo 成果物リポジトリへの接続を定義してセキュリティで保護します。

Chef サービス接続

次のパラメーターを使用し、Chef オートメーション サーバーへの接続を定義してセキュリティで保護します。

Docker ホスト サービス接続

次のパラメーターを使用し、Docker ホストへの接続を定義してセキュリティで保護します。

Docker ホストへの接続の保護の詳細については、「Docker デーモン ソケットを保護する」を参照してください。

Docker レジストリ サービス接続

Docker コンテナー レジストリへのサービス接続を作成することができます。

レジストリの種類を選択します。

Docker Hubまたはその他

次のパラメーターを入力して、Docker Hub レジストリまたは Others への接続を定義します。

[確認] を選択し、残りのパラメーターを入力する前に資格情報を確認できます。

Azure コンテナー レジストリ

汎用サービス接続

次のパラメーターを使用し、種類が汎用であるすべてのサービスまたはアプリケーションへの接続を定義してセキュリティで保護します。

GitHub サービス接続

GitHub リポジトリへの接続を定義するには、次のパラメーターを使用します。

1. Azure Pipelinesページの見出しの右側にあるアカウント名からユーザー設定を開きます。
2. [個人用アクセス トークン] を選択します。
3. [追加] を選択し、トークンの作成に必要な情報を入力します。

詳細については、「成果物ソース - バージョン管理」を参照してください。

GitHub Enterprise Server サービス接続

GitHub Enterprise リポジトリへの接続を定義するには、次のパラメーターを使用します。

1. Azure Pipelinesページの見出しの右側にあるアカウント名からユーザー設定を開きます。
2. [個人用アクセス トークン] を選択します。
3. [追加] を選択し、トークンの作成に必要な情報を入力します。

着信 Webhook サービス接続

受信 Webhook サービス接続を作成するには、以下のパラメーターを使用します。

Jenkins サービス接続

次のパラメーターを使用し、Jenkins サービスへの接続を定義します。

[確認] を選択し、残りのパラメーターを入力する前に資格情報を確認できます。

詳細については、「 アーティファクト ソース - Jenkins」を参照してください。

Jira サービス接続

次のパラメーターを使用し、Jira サービスへの接続を定義します。

Kubernetes サービス接続

次のパラメーターを使用して、Kubernetes クラスターへの接続を定義します。 以下のオプションから [認証方法] を選択します。

• Kubeconfig
• サービス アカウント
• Azure サブスクリプション

Kubeconfig オプション

サービス アカウント オプション

次のコマンドを使用して、サーバー URL をフェッチします。

kubectl config view --minify -o 'jsonpath={.clusters[0].cluster.server}'

次の一連のコマンドを使用して、クラスターに接続して認証するために必要な Secret オブジェクトをフェッチします。

kubectl get serviceAccounts <service-account-name> -n <namespace> -o 'jsonpath={.secrets[*].name}'

次のコマンドで、service-account-secret-name を前のコマンドの出力で置き換えます。

kubectl get secret <service-account-secret-name> -n <namespace> -o json

YAML 形式でフェッチされたシークレット オブジェクトをコピーして [シークレット] テキスト フィールドに貼り付けます。

Azure サブスクリプション オプション

Azure RBAC が有効なクラスターの場合、選択した名前空間に RoleBinding オブジェクトと共に ServiceAccount が作成されるため、作成された ServiceAccount は、選択した名前空間に対してのみアクションを実行できます。

Azure RBAC が無効になっているクラスターの場合、選択した名前空間に ServiceAccount が作成されますが、作成された ServiceAccount にはクラスター全体の特権 (名前空間間) があります。

Maven サービス接続

次のパラメーターを使用し、Maven リポジトリへの接続を定義してセキュリティで保護します。

npm サービス接続

次のパラメーターを使用し、npm サーバーへの接続を定義してセキュリティで保護します。

NuGet サービス接続

次のパラメーターを使用し、NuGet サーバーへの接続を定義してセキュリティで保護します。

Azure Artifactsおよびその他の NuGet リポジトリで認証するように NuGet を構成するには、NuGet の認証を参照してください。

その他の Git サービス接続

次のパラメーターを使用し、外部 Git リポジトリ サーバーへの接続を定義してセキュリティで保護します。 GitHub と GitHub Enterprise Server の特定のサービス接続があります。

詳細については、「成果物ソース」を参照してください。

Python パッケージのダウンロード サービス接続

Python パッケージをダウンロードするために、Python リポジトリへの接続を定義してセキュリティで保護する場合は、次のパラメーターを使用します。

Pythonパッケージのアップロードサービス接続

Python パッケージをアップロードするために、Python リポジトリへの接続を定義してセキュリティで保護する場合は、次のパラメーターを使用します。

Service Fabricサービス接続

サービス Fabric クラスターへのサービス接続を作成する場合、認証方法には 3 つのオプションがあります。Certificate based、Microsoft Entra credential、または Windows security using gMSA。

証明書ベースの認証オプション

Microsoft Entra資格情報認証オプション

WindowsのセキュリティにgMSA認証オプションを使用する

SSH サービス接続

次のパラメーターを使用して、リモート ホストへの接続を定義し、Secure Shell (SSH) を使用してセキュリティで保護します。

詳細については、「SSH タスク」と「SSH によるファイルのコピー」を参照してください。

Subversion サービス接続

次のパラメーターを使用し、Subversion リポジトリへの接続を定義してセキュリティで保護します。

領域名は、以下のいくつかの方法で見つけることができます。

• HTTP または HTTPS 経由でリポジトリにアクセスする場合: 保存された資格情報を使わずに Web ブラウザーでリポジトリを開きます。 認証ダイアログで領域名が使用されます。

• svn コマンド ラインを使用します。 資格情報を保存した場合、たとえば svn info https://svnserver/repo を実行します。 パスワードの入力を求められると、領域名が表示されます。

• リポジトリにアクセスするための資格情報を保存した場合、ユーザー プロファイルの Subversion 認証キャッシュ セクションのいずれかのファイルで領域名を探してください。 たとえば、~/.subversion/auth/svn/simple または C:\Users\yourname\Application Data\Subversion\auth\svn.simple です。

Visual Studio App Center サービス接続

Visual Studio App Centerへの接続を定義してセキュリティで保護する場合は、次のパラメーターを使用します。

その他のサービス接続向けの拡張機能

その他のサービス接続の種類とタスクは、拡張機能としてインストールできます。 拡張機能が用意されているサービス接続の例を次に示します。

• System Center Virtual Machine Manager (SCVMM) 統合。 SCVMM サーバーに接続して仮想マシンをプロビジョニングし、以下のアクションを実行します。

  • チェックポイントの管理
  • 仮想マシン (VM) の起動と停止
  • PowerShell スクリプトの実行

• VMware リソースの配置。 Visual Studio Team Services または Team Foundation Server から VMware vCenter Server に接続して、VMware 仮想マシンのプロビジョニング、開始、停止、またはスナップショットを作成します。

• Power Platform ビルド ツール。 Microsoft Power Platform Build Tools を使用して、Microsoft Power Platform 上に構築されたアプリに関連する一般的なビルドタスクとデプロイ タスクを自動化します。 拡張機能をインストールすると、Power Platform サービス接続の種類には次のプロパティが含まれます。

  パラメーター	説明
  接続名	必須。 タスクのプロパティでこのサービス接続を参照するために使用する名前。
  サーバー URL	必須。 Power Platform インスタンスの URL。 例: https://contoso.crm4.dynamics.com
  テナント ID	必須。 認証するテナント ID (Azure ポータルではディレクトリ ID とも呼ばれます)。 テナント ID を表示し、アプリケーション ID と関連するクライアント シークレットを構成するスクリプトの詳細については、https://aka.ms/buildtools-spn を参照してください。 アプリケーション ユーザーを CDS で作成することも必要です
  アプリケーション識別子	必須。 Azure アプリケーション ID を認証に使用します。
  Client secret of Application ID (アプリケーション ID のクライアント シークレット)	必須。 ID を証明するために使用される、上記のアプリケーション ID に関連付けられているサービス プリンシパルのクライアント シークレット。

独自のカスタム サービス接続を作成することもできます。

FAQ とサービス接続のトラブルシューティング

トラブルシューティングの詳細なガイダンスについては、次の記事を参照してください。

• Azure Resource Managerサービス接続のトラブルシューティング
• ワークロード ID サービス接続のトラブルシューティング

Azure DevOps は Entra ID リソースをどのように効率的に利用するのですか？

Azure DevOpsは、Azure Resource Manager や Docker Registry。 これは、多数のサーバータスクの実行や、要求を処理するためにAzure DevOpsがEntra IDでの認証を行う必要があるその他のアクションが原因で発生する可能性があるEntra IDスロットリングを防ぐのに役立ちます。 キャッシュは、トークンがユーザーに公開されない内部フローにのみ適用されます。 Entra ID トークンを受け取ると（たとえば、パイプライン スクリプト内で）、それは常に新しく発行されます。 サービス接続を変更すると、そのトークン キャッシュが無効になり、このサービス エンドポイントのキャッシュが一時的に無効になります。 Entra IDで行われた次の変更に従ってトークンの失効が原因で問題が発生している場合は、1 時間待つか、対応するサービス エンドポイントを更新してみてください。

ヘルプとサポート

• 調べるトラブルシューティングのヒント
• Stack Overflow でアドバイスを得る
• 質問を投稿したり、回答を検索したり、Azure DevOps Developer Communityで機能を提案したりできます。
• Azure DevOps のサポートを受ける。