Toegang tot Azure DevOps met Microsoft Entra workloadidentiteit

Azure DevOps Services

Met een Azure DevOps-serviceverbinding kunnen uw pipelines bij Azure DevOps worden geauthenticeerd zonder gebruik te maken van Personal Access Tokens (PATs), maar met Microsoft Entra workloadidentiteiten. Service-principals en beheerde identiteiten krijgen toegang tot Azure DevOps via workload-identiteitsfederatie, een methode zonder geheimen waardoor geheimen niet beheerd of geroteerd hoeven te worden.

Voordelen

• Verificatie zonder PAT: elimineer de noodzaak om persoonlijke toegangstokens te maken, op te slaan en te draaien.
• Minimale bevoegdheden: Gebruik machtigingen per pijplijn in plaats van machtigingen voor gedeelde buildserviceaccountmachtigingen.
• Verbeterde beveiliging: Gebruik federatieve referenties met automatische tokenrotatie.
• Cross-organization access: Toegang tot Azure DevOps resources in verschillende organisaties met behulp van één serviceverbinding.
• Audit trail: Alle verificatiepogingen worden vastgelegd in Azure DevOps auditlogboeken.

Ondersteunde scenario’s

De Azure DevOps-serviceverbinding ondersteunt deze scenario's:

• Repository-resources: Bekijk code uit opslagplaatsen in verschillende Azure DevOps organisaties.
• Artifact-feeds: Toegang tot Azure Artifacts-feeds (NuGet, npm, Maven, Python, Cargo, Conda) binnen organisaties zonder het gebruik van PAT's.
• REST API-aanroepen: Autoriseren naar Azure DevOps REST APIs vanuit inlinescripts.
• Extension publishing: Publiceer extensies naar Visual Studio Marketplace.

Vereiste voorwaarden

Als u een Azure DevOps-serviceverbinding wilt maken, hebt u het volgende nodig:

• Een Azure DevOps organisatie
• Een Entra-service-principal of beheerde identiteit die moet worden gebruikt voor authenticatie
• Creator of Administratorrol voor serviceverbindingen in het Azure DevOps project waarin u de serviceverbinding maakt. Leden van de Endpoint Creators-groep hebben standaard de Makerrol. Zie Beveiliging van serviceverbindingen instellen voor meer informatie.
• Als u toegang krijgt tot resources in alle organisaties, moet de service-principal of beheerde identiteit worden toegevoegd als gebruiker aan elke doelorganisatie

Stap 1: Een serviceverbinding maken binnen dezelfde organisatie

Als uw service-principal zich in dezelfde Azure DevOps organisatie bevindt als de serviceverbinding:

Voeg de service-principal toe aan je organisatie

1. Ga in uw Azure DevOps organisatie naar Organization Settings>Users.

2. Selecteer Gebruikers toevoegen.

3. Voer de details van de serviceprincipal in:

   • Naam: de service-principal of de naam van de beheerde identiteit of de object-id
   • Toegangsniveau: selecteer het juiste toegangsniveau. Basic gebruiken voor standaardtoegang

4. Wijs de service-principal of beheerde identiteit toe aan het project waar u de serviceverbinding maakt, bijvoorbeeld door deze toe te voegen aan de groep Lezers

5. Selecteer Toevoegen om te bevestigen.

6. Aanvullende machtigingen op resourceniveau toewijzen aan de service-principal of beheerde identiteit

Stap 2: De serviceverbinding maken

1. Ga in uw Azure DevOps project naar Project Settings>Service connections.

2. Selecteer Nieuwe serviceverbinding.

3. Selecteer Azure DevOps als serviceverbindingstype.

4. Vul het formulier in:

   • Identiteit: Selecteer de service-principal die u aan uw organisatie hebt toegevoegd
   • Serviceverbindingsnaam: voer een beschrijvende naam in voor de verbinding (bijvoorbeeld my-azdo-connection)
   • Beschrijving (optioneel): Details toevoegen over het doel van de verbinding

5. Selecteer Opslaan om de serviceverbinding te maken.

Een serviceverbinding maken voor toegang tussen organisaties

Toegang krijgen tot resources in een andere Azure DevOps organisatie die is gekoppeld aan dezelfde Entra ID tenant:

1. Volg de stappen in Een serviceverbinding maken binnen dezelfde organisatie, maar selecteer Verschillende organisatie bij het maken van de serviceverbinding.

2. Voer de naam in van de doel-Azure DevOps organisatie.

3. U moet ook de service principal toevoegen als gebruiker in de doelorganisatie.

De serviceverbinding in uw pijplijn gebruiken

Opslagplaatsen van verschillende organisaties uitchecken

pool:
  vmImage: 'ubuntu-latest'

resources:
  repositories:
  - repository: external-repo
    type: git
    endpoint: my-azdo-connection
    name: 'external-project/external-repo'
    ref: 'refs/heads/main'

steps:
- checkout: self
- checkout: external-repo

Verwijzen naar een sjabloon van een andere organisatie

resources:
  repositories:
    - repository: templates 
      type: git
      endpoint: my-azdo-connection
      name: 'external-project/external-repo'
      ref: "refs/heads/main"    
      
steps:
- template: azdosc-template.yml@templates

Toegang tot artefactfeeds

Gebruik de serviceverbinding met verificatietaken voor artefacten:

- task: NuGetAuthenticate@1
  inputs:
    nuGetServiceConnections: 'my-azdo-connection'

- task: DotNetCoreCLI@2
  inputs:
    command: 'restore'
    projects: '**/*.csproj'

Azure DevOps aanroepen vanuit een script

- task: AzureCLI@3
  displayName: Secret-less
  inputs:
    connectionType: 'azureDevOps'
    azureDevOpsServiceConnection: 'my-azdo-connection'
    scriptType: 'pscore'
    scriptLocation: 'inlineScript'
    inlineScript: |
      az rest --method get `
              --url "https://status.dev.azure.com/_apis/status/health?api-version=7.1-preview.1" `
              --resource 499b84ac-1321-427f-aa17-267ca6975798 `
              --query "sort_by(services[?id=='Pipelines'].geographies | [], &name)" `
              -o table

      az devops configure -l

      az devops project list --query "value[].{Name:name, Id:id}" `
                            -o table

      az pipelines pool list --query "[].{Id:id, Name:name}" `
                            -o table

- task: AzureCLI@3
  displayName: Use Entra access token
  inputs:
    connectionType: 'azureDevOps'
    azureDevOpsServiceConnection: 'my-azdo-connection'
    scriptType: 'pscore'
    scriptLocation: 'inlineScript'
    inlineScript: |
      # Get access token for Azure DevOps
      $token = az account get-access-token --resource "499b84ac-1321-427f-aa17-267ca6975798" `
                                           --query "accessToken" `
                                           --output tsv
      
      # Use token in REST API call
      $headers = @{
        Authorization = "Bearer $token"
        "Content-Type" = "application/json"
      }
      
      $body = @{
        name = "Test Build"
      } | ConvertTo-Json
      
      Invoke-RestMethod -Uri "$(System.CollectionUri)$(System.TeamProject)/_apis/build/definitions?api-version=7.1" `
                        -Method POST `
                        -Headers $headers `
                        -Body $body

De AzureCLI@3 taak maakt gebruik van de Azure DevOps CLI, die vooraf is geïnstalleerd op Microsoft-gehoste agents. Voor zelf-hostende agents hebt u de Azure CLI nodig met de extensie azure-devops. Als de azure-devops extensie niet is geïnstalleerd, installeert de AzureCLI@3 taak deze tijdens runtime.

Aanbevolen procedures voor beveiliging

• Minimale machtigingen: wijs de service-principal alleen de machtigingen toe die nodig zijn voor uw specifieke pijplijntaken.
• Controletoegang: controleer regelmatig auditlogboeken om het gebruik van de serviceverbinding te controleren.
• Bereikgebruik: gebruik afzonderlijke serviceverbindingen voor verschillende projecten of organisaties om gedeelde machtigingen te beperken.

Troubleshooting

Maken van serviceverbinding mislukt

Oorzaak: De service-principal wordt niet toegevoegd aan uw organisatie of u beschikt niet over de vereiste machtigingen.

reparatie:

• Controleer of u de service-principal als gebruiker aan uw organisatie hebt toegevoegd.
• Controleer of u over de juiste machtigingen beschikt om serviceverbindingen te maken.
• Zorg ervoor dat de service-principal het vereiste toegangsniveau in de organisatie heeft.

De pijplijn kan niet worden geverifieerd

Oorzaak: De naam van de serviceverbinding komt niet overeen met de YAML-verwijzing of de service-principal beschikt niet over machtigingen voor de doelbronnen.

reparatie:

• Controleer of de naam van de serviceverbinding in uw pijplijn-YAML overeenkomt met de naam die u hebt gemaakt.
• Controleer of de service-principal over de juiste machtigingen beschikt voor de resources die u gebruikt.
• Controleer Azure DevOps auditlogboeken op verificatiefouten.
• Raadpleeg veelgestelde vragen over service-principals en beheerde identiteiten.
• Raadpleeg de lijst met foutberichten voor Microsoft Entra AADSTS-statuscodes.

Toegang tussen organisaties werkt niet

Oorzaak: U hebt de service-principal niet toegevoegd als gebruiker in beide organisaties of u hebt de naam van de doelorganisatie verkeerd gespeld.

reparatie:

• Voeg de service-principal toe als gebruiker in beide organisaties.
• Controleer of de naam van de doelorganisatie juist is gespeld in de configuratie van de serviceverbinding.
• Controleer of de service-principal over de vereiste machtigingen in de doelorganisatie beschikt.

Veelvoorkomende foutberichten

Foutberichten van Microsoft Entra ID

De volgende tabel bevat veelvoorkomende Microsoft Entra ID foutcodes en mogelijke problemen met betrekking tot de identiteitsserviceverbindingen van de workload:

Wordt de AADSTS-fout die u hierboven niet ziet weergegeven? Controleer Microsoft Entra-foutcodes voor verificatie en autorisatie.

Volgende stappen 

• Gebruik serviceverbindingen in uw pijplijn.
• Serviceverbindingen beheren.
• Meer informatie over workloadidentiteitsfederatie.