Solución de problemas de conexiones de servicio Azure Resource Manager

Servicios Azure DevOps | Azure DevOps Server | Azure DevOps Server 2022

En este artículo se presentan escenarios comunes de solución de problemas que le ayudarán a resolver los problemas que pueden surgir al crear una conexión de servicio de Azure Resource Manager (ARM). Consulte Administración de conexiones de servicio para obtener información sobre cómo crear, editar, proteger y habilitar conexiones de servicio. Consulte Troubleshoot an Azure Resource Manager workload identity service connection para obtener información sobre cómo corregir problemas relacionados con la identidad de carga de trabajo.

Importante

Un administrador de conexiones de servicio o un Project Administrator puede deshabilitar las conexiones de servicio de Azure Resource Manager. Azure Pipelines también puede deshabilitar automáticamente una conexión después de 100 días de inactividad. Una conexión deshabilitada puede afectar a las ejecuciones de canalización, por lo que debe comprobar su estado habilitado antes de solucionar problemas de autenticación, rotar secretos o volver a crear la conexión.

En este artículo se usan los términos "inquilino" y "directorio" de maneras que pueden superponerse. Un inquilino es una instancia dedicada y aislada de Microsoft Entra ID que su organización recibe y para la cual gestiona todas las identidades y el control de acceso para sus servicios en la nube. Un directorio es un contenedor dentro de ese inquilino que contiene objetos como usuarios, grupos y aplicaciones que se usan para administrar el acceso a los recursos.

Importante

Si la conexión del servicio de Azure Resource Manager usa el emisor de Azure DevOps en desuso para la federación de identidades de carga de trabajo, Azure DevOps muestra una advertencia en la conexión del servicio o en las experiencias de canalización que usan la conexión. Esa advertencia significa que la conexión del servicio debe convertirse en el emisor de Microsoft Entra. Este desuso solo se aplica a las conexiones de servicio elegibles en la nube pública de Azure que usan aplicaciones Microsoft Entra de un solo inquilino o identidades administradas. Las conexiones de servicio que se dirigen a nubes no públicas y las conexiones de servicio que usan aplicaciones multiinquilino quedan fuera del ámbito de esta retirada. Consulte Conversión de conexiones de servicio para obtener más detalles.

¿Qué ocurre al crear una conexión de servicio de Azure Resource Manager?

Tiene varias opciones de autenticación para conectarse a Azure mediante una conexión de servicio de Azure Resource Manager. Se recomienda usar la federación de identidades de carga de trabajo con un registro de aplicación o una identidad administrada.

Cuando el proceso de creación de la conexión de servicio se realiza correctamente, Azure DevOps realiza automáticamente estos pasos en el inquilino de Microsoft Entra. Si se producen errores durante este proceso, consulte los escenarios de solución de problemas siguientes.

Al guardar la nueva conexión de servicio de Azure Resource Manager, Azure DevOps realiza las siguientes acciones:

  1. Se conecta al inquilino de Microsoft Entra para la suscripción seleccionada.
  2. Crea una aplicación en Entra ID en nombre del usuario.
  3. Asigna la aplicación como colaborador a la suscripción seleccionada.
  4. Crea una conexión de servicio de Azure Resource Manager utilizando los detalles de esta aplicación.

Nota:

Para crear conexiones de servicio, debe tener asignado el rol de Creador o Administrador para el grupo Creador de puntos de conexión en la configuración del proyecto: Configuración del proyecto>Conexiones de servicio>Más acciones>Seguridad. Colaboradores del proyecto se agregan de forma predeterminada a este grupo.

Solución de problemas de escenarios de federación de identidades de carga de trabajo

Es posible que se produzcan los siguientes problemas al crear, actualizar o usar conexiones de servicio:

La conexión de servicio está deshabilitada

Un administrador de conexiones de servicio o un Administrador de proyecto puede desactivar una conexión de servicio, y Azure Pipelines podría desactivar una automáticamente después de 100 días de inactividad. Las tareas que dependen de una conexión de servicio deshabilitada pueden producir un error antes de autenticarse en Azure, con mensajes de autorización o de conexión no disponibles.

Para resolver el problema:

  1. En Azure DevOps, vaya a Configuración del proyecto>Conexiones de servicio.
  2. Abra la conexión de servicio de Azure Resource Manager utilizada por la canalización con errores.
  3. Revise la pestaña Historial de uso para confirmar cuándo se usó por última vez la conexión.
  4. Consulte el registro de auditoría de Azure DevOps para ver los eventos de deshabilitación o habilitación de la conexión de servicio y determinar por qué se deshabilitó la conexión.
  5. Confirme que la conexión sigue siendo necesaria y que debe seguir teniendo acceso a los recursos de Azure de destino.
  6. Seleccione Más acciones>Habilitar.
  7. Repetición de la ejecución de la canalización

La canalización muestra una advertencia de emisor de Azure DevOps en desuso

Una advertencia de canalización indica que la canalización está usando una conexión de servicio de federación de identidades de carga de trabajo que aún usa el emisor obsoleto de Azure DevOps.

Para resolver la advertencia:

  1. Abra la conexión de servicio vinculada desde la advertencia.
  2. Convierta la conexión de servicio para que use el emisor de Microsoft Entra.
  3. Si no se completa la conversión automática, siga los pasos de conversión manual en Establecimiento de una conexión de servicio de identidad de carga de trabajo de Resource Manager.
  4. Vuelva a ejecutar la canalización una vez convertida la conexión de servicio.

Error de conversión automática

Azure DevOps primero intenta convertir automáticamente la conexión de servicio. Se puede producir un error en la conversión automática si Azure DevOps no puede actualizar el registro de aplicaciones asociado o la identidad administrada.

Para resolver el problema:

  1. Confirme que tiene permiso de administrador de conexión de servicio o administrador de punto de conexión en Azure DevOps.
  2. Confirme que usted o el propietario de la identidad pueden agregar credenciales federadas al registro de aplicación asociado o a la identidad administrada.
  3. Copie los valores Emisor y Identificador del sujeto que se muestran en Azure DevOps.
  4. Agregue la credencial federada a la identidad asociada en Azure o Microsoft Entra.
  5. Vuelva a la conexión del servicio Azure DevOps y complete la configuración.

Puede editar la conexión de servicio, pero no puede agregar la credencial federada.

Los permisos de la conexión de servicio de Azure DevOps no otorgan permisos para actualizar identidades en Azure o Microsoft Entra. El registro de la aplicación o la identidad administrada pueden ser propiedad de un usuario o equipo diferente.

Para resolver el problema, pida a un administrador de Azure, propietario del registro de aplicaciones o propietario de identidad administrada que agregue la credencial federada. Proporcione los valores de identificador del emisor y del firmante generados a partir de la conexión del servicio Azure DevOps.

Los valores de credenciales federadas no coinciden

Una conexión de servicio de identidad de carga de trabajo depende de la coincidencia de valores de credenciales federadas. Si el emisor o el identificador del firmante en Azure o Microsoft Entra no coincide con los valores generados por Azure DevOps, se puede producir un error en la autenticación.

Para resolver el problema:

  1. Abra la conexión de servicio en Azure DevOps.
  2. Copie los valores generados de Emisor y de Identificador del sujeto.
  3. Abra el registro de aplicaciones asociado o la identidad administrada en Azure o Microsoft Entra.
  4. Compare los valores de las credenciales federadas.
  5. Actualice o vuelva a crear la credencial federada para que los valores coincidan.

No sabe quién es el propietario del registro de la aplicación o la identidad administrada

Algunas organizaciones separan la administración de Azure DevOps de Azure o Microsoft Entra administración de identidades. Si el administrador de conexiones de servicio actual no posee la identidad, es posible que el administrador no pueda completar la conversión.

Para resolver el problema:

  • En el caso de registros de aplicaciones, compruebe los propietarios del registro de aplicaciones en Microsoft Entra.
  • En el caso de las identidades administradas, compruebe quién tiene asignaciones de roles a través de la identidad administrada o su grupo de recursos.
  • Si no puede identificar al propietario, póngase en contacto con el administrador de inquilinos o el administrador de suscripciones.

La conexión del servicio usa una aplicación multiinquilino

Los escenarios de aplicaciones multicliente quedan fuera del alcance de esta deprecación. El emisor de Azure DevOps sigue siendo compatible con las conexiones del servicio que usan aplicaciones multiinquilino.

El usuario solo tiene permiso de invitado en el directorio

Este error se produce durante el proceso de creación automática de conexiones de servicio cuando Azure DevOps intenta crear una aplicación y asignar permisos en Microsoft Entra ID (pasos 2-3 en ¿Qué ocurre cuando se crea una conexión de servicio de Azure Resource Manager). Se produce cuando un usuario con solo permisos de invitado en un directorio de Microsoft Entra ID intenta crear una conexión de servicio Azure Resource Manager en Azure DevOps pero no tiene permisos suficientes.

Para solucionar este problema:

  1. Inicie sesión en el portal de Azure con una cuenta de administrador. La cuenta debe ser de propietario o administrador de cuentas de usuario.

  2. Seleccione Microsoft Entra ID en la barra de navegación izquierda.

  3. Asegúrese de que está editando el directorio adecuado que corresponde a la suscripción de usuario. Si no es así, seleccione Cambiar directorio e inicie sesión con las credenciales adecuadas si es necesario.

  4. Seleccione Usuarios en la sección Administrar.

  5. Seleccione Configuración de usuario.

  6. Seleccione Administrar la configuración de colaboración externa en la sección Usuarios externos.

  7. Cambie la opción Los permisos de usuario invitado están limitados a No.

Como alternativa, si está listo para conceder permisos de nivel administrador, puede hacer que el usuario sea miembro de un rol de administrador. Lleve a cabo los pasos siguientes:

Advertencia

Asignar usuarios al rol de administrador global les permite leer y modificar cada configuración administrativa de la organización de Microsoft Entra. Como procedimiento recomendado, asigne este rol a menos de cinco personas de su organización.

  1. Inicie sesión en el portal de Azure con una cuenta de administrador. La cuenta debe ser de propietario o administrador de cuentas de usuario.

  2. Seleccione Microsoft Entra ID en el panel de navegación izquierdo.

  3. Asegúrese de que está editando el directorio adecuado que corresponde a la suscripción de usuario. Si no es así, seleccione Cambiar directorio e inicie sesión con las credenciales adecuadas si es necesario.

  4. Seleccione Usuarios en la sección Administrar.

  5. Use el cuadro de búsqueda para buscar el usuario que desea administrar.

  6. Seleccione Rol del directorio en la sección Administrar y, a continuación, cambie el rol. Cuando haya terminado, haga clic en Guardar.

Normalmente, los cambios tardan entre 15 y 20 minutos en aplicarse globalmente. Después, el usuario puede intentar volver a crear la conexión de servicio.

El usuario no está autorizado para agregar aplicaciones en el directorio

Este error se produce durante el proceso de creación automática de la conexión de servicio cuando Azure DevOps intenta crear una aplicación en Microsoft Entra ID en su nombre (paso 2 en ¿Qué ocurre cuando se crea una conexión de servicio de Azure Resource Manager). No tiene permiso para agregar aplicaciones integradas en el directorio. El administrador del directorio tiene permisos para cambiar esta configuración.

Para solucionar este problema:

  1. Seleccione Microsoft Entra ID en el panel de navegación izquierdo.

  2. Asegúrese de que está editando el directorio adecuado que corresponde a la suscripción de usuario. Si no es así, seleccione Cambiar directorio e inicie sesión con las credenciales adecuadas si es necesario.

  3. Seleccione Usuarios y, a continuación, seleccione Configuración de usuario.

  4. En Registros de aplicaciones, cambie la opción de Los usuarios pueden registrar aplicaciones a Sí.

También puede crear la entidad de servicio con un usuario existente que ya tenga los permisos necesarios en Microsoft Entra ID. Para obtener más información, consulte Crear una conexión de servicio Azure Resource Manager con una entidad de servicio existente.

No se encontró un token de acceso o no se encontró un token de actualización válido

Normalmente, estos errores se producen cuando expira la sesión.

Para resolver estos problemas:

  1. Cierre la sesión de Azure DevOps.

  2. Abra una ventana del explorador InPrivate o incógnito y vaya a Azure DevOps.

  3. Inicie sesión con las credenciales adecuadas.

  4. Seleccione su organización y su proyecto.

  5. Intente volver a crear la conexión de servicio. Para obtener pasos detallados, consulte Administración de conexiones de servicio.

No parece tener una suscripción de Azure activa al intentar editar o crear una nueva conexión de servicio

Este error suele producirse cuando forma parte de varios inquilinos de Entra ID.

Para solucionar este problema:

  1. Vaya al perfil de VS.

  2. Compruebe si tiene varios inquilinos.

  3. Seleccione cada inquilino y vuelva a autenticarse.

  4. Intente crear una conexión de servicio y compruebe si la suscripción se carga.

No se pudo asignar el rol Colaborador

Este error se produce durante el proceso de creación automática de conexiones de servicio cuando Azure DevOps intenta asignar la aplicación como colaborador a la suscripción (paso 3 en ¿Qué ocurre cuando se crea una conexión de servicio de Azure Resource Manager). Este error suele producirse cuando no tiene Write permiso para la suscripción de Azure seleccionada.

Para resolver este problema, pida al administrador de suscripciones que assigne el rol adecuado en Microsoft Entra ID.

La suscripción no aparece al crear una conexión de servicio

Hay varias causas posibles de este problema.

  • Se ha excedido el máximo de 50 suscripciones de Azure enumeradas en los distintos menús desplegables de suscripción de Azure (facturación, conexión de servicio, etc.): Si está configurando una conexión de servicio y tiene más de 50 suscripciones de Azure, algunas de las suscripciones no se enumeran. En este escenario, complete los pasos siguientes:

    1. Cree un nuevo usuario de Microsoft Entra nativo en la instancia de Microsoft Entra de la suscripción de Azure.

    2. Configure el Microsoft Entra usuario para que tenga los permisos adecuados para configurar la facturación o crear conexiones de servicio. Para obtener más información, consulte Agregar un usuario que puede configurar la facturación para Azure DevOps.

    3. Agregue el usuario de Microsoft Entra a la organización de Azure DevOps con un nivel de acceso de Stakeholder y, a continuación, agréguelo al grupo de Administradores de colección de proyectos (para facturación) o asegúrese de que el usuario tenga permisos suficientes en el equipo de proyecto para crear conexiones de servicio.

    4. Inicie sesión en Azure DevOps con las nuevas credenciales de usuario y configure la facturación. Solo verá una suscripción Azure en la lista.

  • Token de usuario antiguo almacenado en caché en Azure DevOps Services: Si tu suscripción de Azure no se muestra al crear una conexión de servicio de Azure Resource Manager (ARM), es posible que se deba a un token de usuario antiguo almacenado en caché en Azure DevOps Services. Este escenario no es inmediatamente obvio, ya que la pantalla de lista de Azure suscripciones no muestra errores ni mensajes de advertencia que indiquen que el token de usuario está obsoleto. Para resolver este problema, actualice manualmente el token de usuario almacenado en caché en Azure DevOps Services mediante los pasos siguientes:

    1. Cierre la sesión de Azure DevOps Services e inicie sesión de nuevo. Esta acción puede actualizar el token de usuario.
    2. Borre la memoria caché del explorador y las cookies para asegurarse de que se quiten los tokens antiguos.
    3. En el portal de Azure DevOps, vaya a las conexiones de servicio y vuelva a autorizar la conexión a Azure. Este paso solicita Azure DevOps usar un nuevo token.

  • Configuración incorrecta de los tipos de cuenta de soporte técnico: Corrija este problema cambiando la configuración de los tipos de cuenta admitidos y definiendo quién puede usar la aplicación. Siga estos pasos:

    1. Inicie sesión en el portal de Azure.

    2. Si tiene acceso a varios inquilinos, use el filtro Directorio + suscripción del menú superior para seleccionar el inquilino en el que quiere registrar una aplicación.

      Screenshot que muestra el icono de directorio y suscripciones en Azure portal.

    3. Seleccione Microsoft Entra ID en el panel izquierdo.

    4. Seleccione Registros de aplicaciones.

    5. Seleccione la aplicación en la lista de aplicaciones registradas.

    6. En Autenticación, seleccione Tipos de cuenta admitidos.

    7. En Tipos de cuenta admitidos, ¿Quién puede usar esta aplicación o acceder a esta API?, seleccione Cuentas en cualquier directorio organizativo.

      Captura de pantalla que muestra los tipos de cuenta admitidos.

    8. Cuando haya terminado, haga clic en Guardar.

La entidad o el secreto de servicio han expirado

Las entidades de servicio o secretos que Azure DevOps crea automáticamente expiran y requieren renovación. Si tiene problemas al actualizar el token, consulte Error al obtener un token de acceso o no se encontró un token de actualización válido. Para evitar tener que renovar secretos, use la federación de identidades de carga de trabajo con Azure Resource Manager.

Si el token expira, es posible que vea uno de estos mensajes de error:

  • AADSTS7000215: Invalid client secret is provided
  • AADSTS7000222: The provided client secret keys for app '***' are expired
  • Invalid client id or client secret

Para renovar el token de acceso de una entidad de servicio o secreto creados automáticamente:

  1. Vaya a Project settings>Service connections y seleccione la conexión de servicio que desea actualizar.

  2. Seleccione Rotar secreto.

    Captura de pantalla de la opción para rotar un secreto en ARM.

El token de la entidad de servicio o el secreto ahora se renueva durante tres meses más.

Nota:

Puede renovar el secreto de la entidad de servicio incluso si no ha expirado. Si no se muestra Rotar secreto, abra la conexión de servicio, seleccione Editar y, a continuación, seleccione Guardar para renovar el secreto. Asegúrese de que el usuario que realiza la operación tenga los permisos adecuados en la suscripción y Microsoft Entra ID, ya que actualiza el secreto de la aplicación registrada para la entidad de servicio. Para obtener más información, consulte Crear un registro de aplicación con un secreto y ¿Qué ocurre al crear una conexión de servicio Resource Manager?

No se pudo obtener el JWT mediante el identificador de cliente de la entidad de servicio

Este problema se produce al intentar guardar una conexión de servicio que tiene un secreto expirado u otros problemas en el nivel de Microsoft Entra ID.

Es posible que una conexión de servicio en este estado tampoco aparezca en las listas desplegables de tareas de canalización (como Azure App Service Deploy o Azure PowerShell), aunque esté visible en Project settings>Service connections. Esto sucede cuando se eliminó la entidad de servicio subyacente o el isReady estado de la conexión es false.

Para solucionar este problema:

  1. Vaya a Project settings>Service connections y seleccione la conexión de servicio que desea modificar.
  2. Seleccione Editar y, a continuación, seleccione Comprobar para comprobar el estado de conexión.
  3. Si se produce un error AADSTS700016 en la comprobación ("No se encontró la aplicación con identificador en el directorio"), se ha eliminado la entidad de servicio. Cree una nueva conexión de servicio o, para las conexiones manuales, actualice la conexión con los nuevos detalles de la entidad de servicio.
  4. Si la comprobación se realiza correctamente, seleccione Guardar para guardar la conexión de servicio.

Nota:

Si recibe un error como Failed to obtain the Json Web Token(JWT) using service principal client ID. Exception message: AADSTS7000112: Application is disabled., trabaje con el equipo de Microsoft Entra ID para confirmar que la opción Enabled para que los usuarios inicien sesión en la aplicación empresarial vinculada a la entidad de servicio no está deshabilitada.

La suscripción de Azure no se transfiere desde el resultado de la tarea anterior.

Si establece la suscripción de Azure de forma dinámica para la canalización de versión y quiere consumir la variable de salida de una tarea anterior, puede que encuentre este problema.

Para resolverlo, asegúrese de que los valores se hayan definido en la sección de variables de la canalización. Después, puede pasar esta variable entre las tareas de la canalización.

¿Qué mecanismos de autenticación se admiten? ¿Cómo funcionan las identidades administradas?

Una conexión de servicio de Azure Resource Manager puede conectarse a una suscripción de Azure mediante una autenticación de la entidad de servicio (SPA) o una autenticación de identidad administrada.

La conexión del servicio Azure Resource Manager puede conectarse a una suscripción de Azure, un grupo de administración o un área de trabajo de Machine Learning mediante:

  • Registro de aplicaciones (recomendado): autentique la conexión mediante una federación de identidades de carga de trabajo o un secreto.
  • Identidad administrada: las identidades administradas para los recursos de Azure proporcionan a los servicios de Azure una identidad administrada automáticamente en Microsoft Entra ID. También puede usar una identidad administrada asignada por el agente.

Al configurar la conexión de servicio con una identidad administrada como método de autenticación, el proceso no crea una nueva identidad administrada. Simplemente establece la conexión del servicio. Para que este método de autenticación funcione correctamente, se deben cumplir ciertas condiciones. En concreto, dado que la identidad administrada es el método de autenticación elegido, la máquina virtual que usa debe tener una identidad asignada por el sistema. Además, esta máquina virtual debe actuar como agente autohospedado dentro de las canalizaciones para que el flujo de trabajo se ejecute completamente, lo que permite que la canalización implemente cambios a través de la conexión de servicio. La identidad asignada por el sistema en la máquina virtual identifica que la misma máquina virtual actúa como agente en la canalización, lo que habilita la autenticación. Esta configuración le permite aprovechar la identidad administrada existente.

Para obtener más información sobre las identidades administradas para máquinas virtuales, consulte la Asignación de roles.

Nota:

Los agentes alojados por Microsoft no admiten identidades administradas. En este escenario, debe configurar un agente autohospedado en una máquina virtual de Azure y configurar una identidad administrada para esa máquina virtual.

Error AuthorizationFailed al ejecutar tareas de canalización

Cuando una tarea de canalización se ejecuta en un recurso de Azure, es posible que vea el siguiente error:

AuthorizationFailed: The client '<ClientName>' with object id '<ObjectId>' does not have authorization 
to perform action '<ActionName>' over scope '/subscriptions/<SubscriptionId>/...'

El identificador de cliente y de objeto del mensaje de error hacen referencia a la entidad de servicio que respalda la conexión de servicio.

Para solucionar este problema:

  1. En el portal de Azure, vaya al recurso o al grupo de recursos al que se hace referencia en el ámbito del error.
  2. Seleccione Control de acceso (IAM)>Asignaciones de roles.
  3. Compruebe que la entidad de servicio que aparece en el error tiene un rol que incluye la acción necesaria (por ejemplo, Colaborador o un rol personalizado).
  4. Si falta la asignación de rol, seleccione Agregar>asignación de rol y asigne el rol adecuado a la entidad de servicio.
  5. Espere unos minutos para que la asignación de roles se propague y vuelva a intentar la canalización.

Para obtener más información sobre Azure RBAC, consulte roles integrados de Azure.

Conexión de servicio no autorizada para la canalización

Cuando se ejecuta una canalización, es posible que vea el siguiente error:

Resource not authorized. You need to authorize the resource before it can be used.

Este error se produce cuando no se ha concedido permiso a la conexión de servicio a la canalización que intenta usarla.

Para solucionar este problema:

  1. Vaya a Project settings>Service connections.
  2. Seleccione la conexión de servicio que usa la canalización.
  3. Seleccione Más acciones (...) >Seguridad.
  4. En Permisos de canalización, seleccione + y agregue la canalización que necesita acceso.

Como alternativa, puede conceder acceso a todas las canalizaciones. Esto no se recomienda. Para conceder acceso a todas las canalizaciones:

En la página seguridad de la conexión de servicio, seleccione Más acciones>Abrir acceso.

Nota:

El acceso abierto permite que cualquier tubería del proyecto pueda usar la conexión de servicio. Para un control más estricto, conceda acceso solo a canalizaciones específicas.

Para más información, consulte Seguridad de la conexión de servicio.

Crear un principal de servicio sin permisos de suscripción de Azure

Si no tiene los permisos requeridos en la suscripción de Azure o Microsoft Entra ID para crear una conexión de servicio mediante el método automático, solicite a un administrador que cree manualmente el principal de servicio. A continuación, puede ingresar los detalles de la entidad de servicio en Azure DevOps para crear la conexión de servicio.

  1. Pida a un usuario que tenga la suscripción de Azure necesaria y permisos de Microsoft Entra ID para crear un principal de servicio en Microsoft Entra ID y asignarle el rol adecuado en la suscripción.
  2. Obtenga los detalles siguientes del administrador: id. de aplicación (cliente),identificador de directorio (inquilino),id. de suscripción y un secreto de cliente o certificado.
  3. En Azure DevOps, vaya a Project settings>Service connections>>Nueva conexión de servicio>Azure Resource Manager>Service principal (manual).
  4. Escriba los detalles proporcionados por el administrador y guarde la conexión.

Para obtener más información, consulte Crear una conexión de servicio Azure Resource Manager con una entidad de servicio existente.

No se pueden eliminar las conexiones de servicio

Al intentar eliminar una conexión de servicio de Azure Resource Manager, es posible que reciba un error como "No se pudo quitar el permiso de Azure" o "No se pudo quitar el principal de servicio de Microsoft Entra ID". En algunos casos, la conexión permanece en la lista aunque no se muestre ningún mensaje de error.

Para solucionar este problema:

  1. Seleccione la conexión de servicio y seleccione Eliminar. Incluso si aparecen mensajes de error sobre permisos de Azure o el principal de servicio, la conexión todavía debe eliminarse desde Azure DevOps.

  2. Si se produce un error en la eliminación, use la API REST de punto de conexión de servicio para eliminarla directamente. Establezca el parámetro deep en false para omitir la limpieza de la entidad de servicio subyacente:

    DELETE https://dev.azure.com/{organization}/{project}/_apis/serviceendpoint/endpoints/{endpointId}?deep=false&api-version=7.1

  3. Después de eliminar la conexión, quite o actualice manualmente la entidad de servicio asociada de Registros de aplicaciones en el portal de Azure.

Sugerencia

Puede pedir Copilot para obtener ayuda para solucionar los mensajes de error. Para más información, consulte Use AI para solucionar un error de conexión del servicio Azure DevOps.

Emplea IA para solucionar un error en la conexión del servicio de Azure DevOps.

Este ejemplo de mensaje para Copilot Chat ayuda a que Copilot diagnostique su código de error y mensaje. Copie y pegue este mensaje en Copilot Chat, reemplazando el marcador de posición por su mensaje de error específico.

I'm getting this Azure DevOps service connection error: [PASTE YOUR ERROR MESSAGE HERE]

Can you help me troubleshoot this issue? Please provide step-by-step instructions to:
1. Identify the root cause
2. Fix the configuration in Azure or Entra ID
3. Verify the solution works

Context: This is for an Azure Resource Manager service connection in Azure DevOps.
  • Last updated on