Acesse o Azure DevOps com a identidade de carga de trabalho do Microsoft Entra

Serviços do Azure DevOps

Uma conexão de serviço Azure DevOps permite que seus pipelines se autentiquem em Azure DevOps sem PATs (Tokens de Acesso Pessoal) usando identidades de carga de trabalho Microsoft Entra. Entidades de serviço e identidades gerenciadas acessam o Azure DevOps por meio da federação de identidade de carga de trabalho, um método de segredo zero que elimina a necessidade de gerenciar e rotacionar segredos.

Benefícios

• Autenticação sem PAT: elimine a necessidade de criar, armazenar e girar Tokens de Acesso Pessoal.
• Privilégio mínimo: use permissões por pipeline em vez de permissões compartilhadas de contas de serviço de build.
• Segurança aprimorada: use credenciais federadas do Entra com rotação automática de token.
• Acesso entre organizações: Acessar recursos do Azure DevOps em diferentes organizações usando uma única conexão de serviço.
• Audit trail: todas as tentativas de autenticação são registradas em logs de auditoria Azure DevOps.

Cenários com suporte

A conexão de serviço Azure DevOps dá suporte a estes cenários:

• Repository resources: confira o código de repositórios em diferentes organizações de Azure DevOps.
• Artifact feeds: Acesso aos repositórios do Azure Artifacts (NuGet, npm, Maven, Python, Cargo, Conda) entre diferentes organizações sem PATs.
• REST API calls: Autentique-se nas APIs REST do Azure DevOps a partir de scripts inline.
• Extension publishing: publicar extensões no Visual Studio Marketplace.

Pré-requisitos

Para criar uma conexão de serviço Azure DevOps, você precisa:

• Uma organização Azure DevOps
• Uma entidade de serviço do Entra ou uma identidade gerenciada a ser usada para autenticação
• Creator ou Administrator função para conexões de serviço no projeto Azure DevOps em que você cria a conexão de serviço. Por padrão, membros do grupo Endpoint Creators têm a função Criador. Para obter mais informações, consulte Definir a segurança da conexão de serviço.
• Se estiver acessando recursos entre organizações, a entidade de serviço ou a identidade gerenciada deverão ser adicionadas como um usuário a cada organização de destino

Etapa 1: criar uma conexão de serviço dentro da mesma organização

Se a entidade de serviço estiver na mesma organização do Azure DevOps que a conexão de serviço:

Adicione a entidade de serviço à sua organização

1. Em sua organização Azure DevOps, acesse Organization Settings>Users.

2. Selecione Adicionar usuários.

3. Insira os detalhes do principal de serviço:

   • Nome: o nome da entidade de serviço, da identidade gerenciada ou a identificação do objeto
   • Nível de acesso: selecione o nível de acesso apropriado. Use Basic para acesso padrão

4. Atribua a entidade de serviço ou a identidade gerenciada ao projeto em que você criará a conexão de serviço, por exemplo, adicionando-a ao grupo Leitores

5. Selecione Adicionar para confirmar.

6. Atribuir quaisquer permissões adicionais de nível de recurso à entidade de serviço ou identidade gerenciada

Etapa 2: Criar a conexão de serviço

1. No projeto Azure DevOps, acesse Configurações do Projeto>Conexões de Serviço.

2. Selecione Nova conexão de serviço.

3. Selecione Azure DevOps como o tipo de conexão de serviço.

4. Preencha o formulário:

   • Identidade: selecione a entidade de serviço que você adicionou à sua organização
   • Nome da conexão de serviço: insira um nome descritivo para a conexão (por exemplo, my-azdo-connection)
   • Descrição (opcional): adicione detalhes sobre a finalidade da conexão

5. Selecione Salvar para criar a conexão de serviço.

Criar uma conexão de serviço para acesso entre organizações

Para acessar recursos em uma organização do Azure DevOps diferente vinculada ao mesmo locatário do Entra ID:

1. Siga as etapas em Criar uma conexão de serviço na mesma organização, mas selecione Organização diferente ao criar a conexão de serviço.

2. Insira o nome da organização de Azure DevOps de destino.

3. Você também deve adicionar a entidade de serviço como um usuário na organização de destino.

Use a conexão de serviço em seu pipeline

Verificar repositórios de diferentes organizações

pool:
  vmImage: 'ubuntu-latest'

resources:
  repositories:
  - repository: external-repo
    type: git
    endpoint: my-azdo-connection
    name: 'external-project/external-repo'
    ref: 'refs/heads/main'

steps:
- checkout: self
- checkout: external-repo

Referenciar um modelo de uma organização diferente

resources:
  repositories:
    - repository: templates 
      type: git
      endpoint: my-azdo-connection
      name: 'external-project/external-repo'
      ref: "refs/heads/main"    
      
steps:
- template: azdosc-template.yml@templates

Acessar feeds de artefatos

Use a conexão do serviço com tarefas de autenticação de artefatos:

- task: NuGetAuthenticate@1
  inputs:
    nuGetServiceConnections: 'my-azdo-connection'

- task: DotNetCoreCLI@2
  inputs:
    command: 'restore'
    projects: '**/*.csproj'

Chamando Azure DevOps de um script

- task: AzureCLI@3
  displayName: Secret-less
  inputs:
    connectionType: 'azureDevOps'
    azureDevOpsServiceConnection: 'my-azdo-connection'
    scriptType: 'pscore'
    scriptLocation: 'inlineScript'
    inlineScript: |
      az rest --method get `
              --url "https://status.dev.azure.com/_apis/status/health?api-version=7.1-preview.1" `
              --resource 499b84ac-1321-427f-aa17-267ca6975798 `
              --query "sort_by(services[?id=='Pipelines'].geographies | [], &name)" `
              -o table

      az devops configure -l

      az devops project list --query "value[].{Name:name, Id:id}" `
                            -o table

      az pipelines pool list --query "[].{Id:id, Name:name}" `
                            -o table

- task: AzureCLI@3
  displayName: Use Entra access token
  inputs:
    connectionType: 'azureDevOps'
    azureDevOpsServiceConnection: 'my-azdo-connection'
    scriptType: 'pscore'
    scriptLocation: 'inlineScript'
    inlineScript: |
      # Get access token for Azure DevOps
      $token = az account get-access-token --resource "499b84ac-1321-427f-aa17-267ca6975798" `
                                           --query "accessToken" `
                                           --output tsv
      
      # Use token in REST API call
      $headers = @{
        Authorization = "Bearer $token"
        "Content-Type" = "application/json"
      }
      
      $body = @{
        name = "Test Build"
      } | ConvertTo-Json
      
      Invoke-RestMethod -Uri "$(System.CollectionUri)$(System.TeamProject)/_apis/build/definitions?api-version=7.1" `
                        -Method POST `
                        -Headers $headers `
                        -Body $body

A tarefa AzureCLI@3 usa a CLI Azure DevOps, que é pré-instalada em agentes hospedados em Microsoft. Em agentes autohospedados, você precisa do Azure CLI com a extensão azure-devops. Se a azure-devops extensão não estiver instalada, a tarefa AzureCLI@3 a instalará em tempo de execução.

Melhores práticas de segurança

• Permissões mínimas: atribua à entidade de serviço apenas as permissões necessárias para suas tarefas de pipeline específicas.
• Auditoria de acesso: Revise regularmente os registros de auditoria para monitorar o uso das conexões de serviço.
• Uso de escopo: use conexões de serviço separadas para diferentes projetos ou organizações para limitar as permissões compartilhadas.

Solução de problemas

Falha na criação da conexão de serviço

Causa: A entidade de serviço não foi adicionada à sua organização ou você não possui as permissões necessárias.

Correção:

• Verifique se você adicionou a entidade de serviço como um usuário à sua organização.
• Verifique se você tem as permissões apropriadas para criar conexões de serviço.
• Verifique se a entidade de serviço tem o nível de acesso necessário na organização.

"O pipeline falha ao autenticar"

Causa: O nome da conexão de serviço não corresponde à referência YAML ou a entidade de serviço não tem permissões para os recursos de destino.

Correção:

• Verifique se o nome da conexão de serviço no YAML do pipeline corresponde ao nome que você criou.
• Verifique se o principal de serviço tem permissões adequadas para os recursos que está acessando.
• Verifique os logs de auditoria do Azure DevOps para identificar falhas de autenticação.
• Consulte perguntas frequentes sobre entidades de serviço e identidades gerenciadas.
• Para os códigos de status AADSTS do Microsoft Entra, examine a lista de mensagens de erro.

O acesso entre organizações não está funcionando

Causa: Você não adicionou a entidade de serviço como usuário em ambas as organizações ou errou a ortografia do nome da organização de destino.

Correção:

• Adicione a entidade de serviço como usuário em ambas as organizações.
• Verifique se o nome da organização de destino está escrito corretamente na configuração de conexão de serviço.
• Verifique se o principal de serviço tem as permissões necessárias na organização de destino.

Mensagens de erro comuns

Mensagens de erro do Microsoft Entra ID

A tabela a seguir lista os códigos de erro comuns do Microsoft Entra ID e os possíveis problemas relacionados a conexões de serviço de identidade de carga de trabalho.

O erro AADSTS que você vê não está listado acima? Verifique Microsoft Entra códigos de erro de autenticação e autorização.

Próximas Etapas 

• Use conexões de serviço em seu pipeline.
• Gerenciar conexões de serviço.
• Saiba mais sobre a federação de identidade de carga de trabalho.