Opções de autenticação de agente auto-hospedado

O Azure Pipelines fornece uma opção de várias opções de autenticação que você pode usar ao registrar um agente. Esses métodos de autenticação são usados somente durante o registro do agente. Consulte a comunicação dos Agentes para obter detalhes de como os agentes se comunicam após o registro.

Método de registro do agente Azure DevOps Services Servidor do Azure DevOps &TFS
PAT (token de acesso pessoal) Suportado Com suporte quando o servidor é configurado com HTTPS
Entidade de Serviço (SP) Suportado Não há suporte no momento
Fluxo de código do dispositivo (Microsoft Entra ID) Suportado Não há suporte no momento
Integrado Sem suporte Somente agentes do Windows
Negociar Sem suporte Somente agentes do Windows
Alternativo (ALT) Sem suporte Com suporte quando o servidor é configurado com HTTPS

PAT (token de acesso pessoal)

Observação

O cadastro de agente exige um PAT ou um nome de administrador. Para obter acesso em nível de pipeline aos recursos do Azure DevOps (repositórios, APIs REST) sem PATs, consulte Acessar o Azure DevOps com a identidade de carga de trabalho do Microsoft Entra.

Especifique PAT para o tipo de autenticação durante a configuração do agente, a fim de utilizar um token de acesso pessoal para autenticar durante o registro do agente. Em seguida, especifique um token de acesso pessoal com o escopo de Pools do Agente (leitura, gerenciamento) (ou o escopo do grupo de implantação (leitura, gerenciamento) para um agente de grupo de implantação), que pode ser usado para o registro do agente.

Para obter mais informações, consulte Registrar um agente usando um PAT (token de acesso pessoal)

Principal de Serviço

Especifique SP para informar o tipo de autenticação durante a configuração do agente para usar uma entidade de serviço para autenticar durante o registro do agente.

Para obter mais informações, consulte Registrar um agente usando um Principal de Serviço.

Fluxo de código do dispositivo

Especifique AAD como o tipo de autenticação durante a configuração do agente para usar o fluxo de código do dispositivo para autenticar durante o registro do agente.

Para obter mais informações, consulte Registrar um agente usando o fluxo de código do dispositivo.

Integrado

A autenticação integrada do Windows para registro de agente só está disponível para registro de agente do Windows no Azure DevOps Server e no TFS.

Especifique Integrado para o tipo de autenticação durante a configuração do agente para usar a autenticação integrada do Windows para autenticação durante o registro do agente.

Conecte um agente do Windows ao TFS usando as credenciais do usuário conectado por meio de um esquema de autenticação do Windows, como NTLM ou Kerberos.

Para usar esse método de autenticação, primeiro você deve configurar o servidor TFS.

  1. Entre no computador em que você está executando o TFS.

  2. Inicie o Gerenciador do IIS (Serviços de Informações da Internet). Selecione seu site do TFS e verifique se a Autenticação do Windows está habilitada com um provedor válido, como NTLM ou Kerberos.

Captura de tela da configuração de autenticação do Windows TFS do IIS.

Captura de tela da autenticação do Windows TFS do IIS com a configuração do provedor NTLM.

Negociar

O método de autenticação Negotiate para registro de agente só está disponível para registro de agente do Windows no Azure DevOps Server e no TFS.

Conecte-se ao TFS como um usuário diferente do usuário conectado por meio de um esquema de autenticação do Windows, como NTLM ou Kerberos.

Para usar esse método de autenticação, primeiro você deve configurar o servidor TFS.

  1. Faça logon no computador no qual você está executando o TFS.

  2. Inicie o Gerenciador do IIS (Serviços de Informações da Internet). Selecione seu site do TFS e verifique se a Autenticação do Windows está habilitada com o provedor Negotiate e com outro método, como NTLM ou Kerberos.

Captura de tela da configuração de autenticação do Windows TFS do IIS.

Captura de tela da configuração do fornecedor de autenticação do IIS TFS Windows com Negotiate e NTLM.

Alternativo (ALT)

O método de autenticação alternativo (básico) para registro de agente só está disponível no Servidor do Azure DevOps e no TFS.

Conecte-se ao TFS usando a autenticação Básica. Para usar esse método, primeiro você deve configurar HTTPS no TFS.

Para usar esse método de autenticação, você deve configurar o servidor TFS da seguinte maneira:

  1. Entre no computador em que você está executando o TFS.

  2. Configure a autenticação básica. Confira Como usar o tfx no Team Foundation Server 2015 usando a Autenticação Básica.

Observação

Pelo design do produto, a autenticação anônima do IIS é necessária para que a autenticação OAuth funcione. Essa autenticação OAuth está sendo usada pelo Azure DevOps para a funcionalidade de agente e pipeline. Por esse motivo, mesmo que já tenhamos agentes configurados, esses agentes ficarão inutilizáveis se desabilitarmos a autenticação anônima. Os produtos do Azure DevOps já têm uma excelente abordagem de segurança. O aplicativo de servidor TFS/Azure DevOps no IIS não permitirá que solicitações não autenticadas passem. Isso apenas permite que ele passe pelo front door do IIS para o aplicativo, o que aplica o OAuth. Por exemplo, em uma execução de pipeline, o servidor de build gera um token OAuth por build, que tem como escopo o build e expira após o build. Portanto, mesmo que o token esteja protegido, se vazar, ele será inútil após o build; ao contrário de uma identidade. O token OAuth também não está disponível para o código executado pelo processo de build (testes de unidade verificados pelos desenvolvedores). Se dependesse da identidade do Windows em que o serviço do Windows era executado, os desenvolvedores que executavam testes de unidade no CI poderiam acessar ou excluir códigos para os quais não tinham permissão.

  • Last updated on