共用方式為

手動設定 Azure Resource Manager 工作負載識別服務連線

  • 發行項

Azure DevOps Services | Azure DevOps Server 2022 - Azure DevOps Server 2019

注意

我們正在推出新的 Azure 服務連線建立體驗。 在您的組織中接收它取決於各種因素，您仍然可能會看到較舊的用戶體驗。

當您 針對 Azure Resource Manager 工作負載身分識別服務連線進行疑難解答時，您可能需要手動設定連線，而不是使用 Azure DevOps 中提供的自動化工具。

建議先嘗試自動化方法，再開始手動設定。

驗證有兩個選項：使用受控識別或使用應用程式註冊。 受控識別選項的優點是，如果您沒有建立服務主體的許可權，或者如果您使用與 Azure DevOps 使用者不同的Microsoft Entra 租使用者，則可以使用它。

設定工作負載身分識別服務連線

若要手動設定 Azure Pipelines 的受控識別驗證，請遵循下列步驟，在 Azure 入口網站 中建立受控識別、在 Azure DevOps 中建立服務連線、新增同盟認證，以及授與必要的許可權。 您必須依照此順序遵循下列步驟：

  1. 在 Azure 入口網站 中建立受控識別。
  2. 在 Azure DevOps 中建立服務連線，並儲存為草稿。
  3. 在 Azure 入口網站 中，將同盟認證新增至您的受控識別。
  4. 在 Azure 入口網站 中將許可權授與受控識別。
  5. 在 Azure DevOps 中儲存您的服務連線。

您也可以針對此程式使用 REST API。

受控識別驗證的必要條件

在 Azure 入口網站 中建立受控識別

  1. 登入 Azure 入口網站。

  2. 在搜尋方塊中，輸入受控識別。

  3. 選取 建立。

  4. 在 [ 建立使用者指派的受控識別 ] 窗格中，輸入或選取下列專案的值：

    • 訂用帳戶：選取要在其中建立使用者指派受控識別的訂用帳戶。
    • 資源群組：選取資源群組以在 中建立使用者指派的受控識別，或選取 [ 新建 ] 以建立新的資源群組。
    • 區域：選取區域以部署使用者指派的受控識別（例如： 美國東部）。
    • 名稱：輸入使用者指派受控識別的名稱（例如： UADEVOPS）。

  5. 選取 [ 檢閱 + 建立 ] 以建立新的受控識別。 當部署完成時，請選取 [前往資源]。

  6. 複製受控識別的訂用帳戶、訂用帳戶標識碼和用戶端標識碼值，以供稍後使用。

  7. 在 Azure 入口網站 的受控識別中，移至 [設定>屬性]。

  8. 複製 [ 租用戶標識符 ] 值，以供稍後使用。

在 Azure DevOps 中建立受控識別驗證的服務連線

  1. 在 Azure DevOps 中，開啟您的專案並移至 >[管線>服務連線]。

  2. 選取 [新增服務連線]。

  3. 選取 [Azure Resource Manager]。

  4. 選取 [身分識別類型 應用程式註冊] 或 [受控識別] [手動] 工作負載 身分識別同盟 認證。

    顯示選取受控識別工作負載識別服務連線的螢幕快照。

  5. 針對 [服務連線名稱]，輸入值，例如 uamanagedidentity。 您將在同盟認證主體標識碼中使用此值。

  6. 選取 [下一步]。

  7. 在 步驟 2：應用程式註冊詳細資料中：

    步驟 2：應用程式註冊詳細數據 包含下列參數。 您可以輸入或選取下列參數：

    參數 描述
    簽發者 必要。 DevOps 會自動建立簽發者 URL。
    主體標識碼 必要。 DevOps 會自動建立主體標識碼。
    環境 必要。 選擇要連線的雲端環境。 如果您選取 [Azure Stack]，請輸入環境 URL，其類似 https://management.local.azurestack.external。

    1. 選取 [ 範圍層級]。 選取 [訂用帳戶]、[管理群組] 或 [機器學習 工作區]。 管理群組 是可協助您跨多個訂用帳戶管理存取、原則和合規性的容器。 機器學習 工作區可用來建立機器學習成品。

      • 針對 [ 訂用帳戶 ] 範圍，輸入下列參數：

        參數 描述
        訂用帳戶標識碼 必要。 輸入 Azure 訂用帳戶標識碼。
        訂用帳戶名稱 必要。 輸入 Azure 訂用帳戶名稱。

      • 針對 [ 管理群組 ] 範圍，輸入下列參數：

        參數 描述
        管理群組標識碼 必要。 輸入 Azure 管理群組識別碼。
        管理組名 必要。 輸入 Azure 管理組名。

      • 針對 [機器學習 工作區] 範圍，輸入下列參數：

        參數 描述
        訂用帳戶標識碼 必要。 輸入 Azure 訂用帳戶標識碼。
        訂用帳戶名稱 必要。 輸入 Azure 訂用帳戶名稱。
        資源群組 必要。 選取包含工作區的資源群組。
        ML 工作區名稱 必要。 輸入現有 Azure 機器學習 工作區的名稱。
        ML 工作區位置 必要。 輸入現有 Azure 機器學習 工作區的位置。

    2. 在 [ 驗證] 區段中，輸入或選取下列參數：

      參數 描述
      應用程式 (用戶端) 識別碼 必要。 輸入受控識別的用戶端標識碼。
      目錄 (租用戶) ID 必要。 輸入受控識別中的租用戶標識碼。

    3. 在 [安全性] 區段中，選取 [授與所有管線的訪問許可權] 以允許所有管線使用此服務連線。 如果您未選取此選項，則必須手動授與使用此服務連線之每個管線的存取權。

  8. 在 Azure DevOps 中，複製簽發者和主體標識碼所產生的值。

    顯示用於同盟驗證之DevOps認證的螢幕快照。

  9. 選取 [ 保留為草稿 ] 以儲存草稿認證。 在受控識別在 Azure 入口網站 中具有同盟認證之前，您無法完成設定。

在 Azure 入口網站 中新增同盟認證

  1. 在新的瀏覽器視窗中，在 Azure 入口網站 的受控識別中，移至 [設定>同盟認證]。

  2. 選取 [ 新增認證]。

  3. 選取 [ 其他簽發者 ] 案例。

  4. 將您從 Azure DevOps 專案複製的簽發者和主體標識碼的值貼到 Azure 入口網站 中的同盟認證。

    顯示 Azure DevOps 中同盟認證與 Azure 入口網站 比較的螢幕快照。

  5. 輸入同盟認證的 [名稱]。

  6. 選取 [新增]。

在 Azure 入口網站 中將許可權授與受控識別

  1. 在 Azure 入口網站 中，移至您想要授與許可權的 Azure 資源（例如資源群組）。

  2. 選取 [存取控制 (IAM)]。

    顯示選取 [資源] 選單中 [存取控制] 的螢幕快照。

  3. 選取 [新增角色指派]。 將必要的角色指派給受控識別（例如參與者）。

  4. 選取 [檢閱並指派]。

儲存您的 Azure DevOps 服務連線

  1. 在 Azure DevOps 中，返回您的草稿服務連線。

  2. 選取 [ 完成設定]。

  3. 選取 [確認並儲存]。 一旦此步驟順利完成，您的受控識別就會完全設定。