Handmatig een Azure Resource Manager-verbinding voor identiteitsservice voor workloads instellen

Azure DevOps Services | Azure DevOps Server | Azure DevOps Server 2022

Wanneer u problemen met een Azure Resource Manager-identiteitsserviceverbinding oplost, moet u de verbinding mogelijk handmatig configureren in plaats van het geautomatiseerde hulpprogramma te gebruiken dat beschikbaar is in Azure DevOps.

Voordat u met een handmatige configuratie begint, probeert u de geautomatiseerde benadering.

Voor verificatie kunt u een beheerde identiteit of een app-registratie gebruiken. De optie beheerde identiteit is handig als u geen machtigingen hebt om service-principals te maken of als u een andere Microsoft Entra-tenant gebruikt dan uw Azure DevOps-gebruiker.

veroudering van Azure DevOps-issuer

Federatieserviceverbindingen voor workloadidentiteit die gebruikmaken van de Azure DevOps verlener (https://vstoken.dev.azure.com) zijn afgeschaft en worden op 1 juli 2027 buiten gebruik gesteld. Nieuwe serviceverbindingen voor federatie van workloadidentiteiten gebruiken standaard de Microsoft Entra issuer (https://login.microsoftonline.com/). Als uw bestaande serviceverbinding is gemarkeerd als afgeschaft, converteert u deze naar de Microsoft Entra verlener vóór de buitengebruikstellingsdatum.

Deze uitfasering geldt alleen voor in aanmerking komende serviceverbindingen in de openbare Azure-cloud die gebruikmaken van Microsoft Entra-toepassingen met één tenant of beheerde identiteiten. Serviceverbindingen die gericht zijn op niet-openbare clouds en serviceverbindingen die gebruikmaken van multitenant-toepassingen, vallen buiten het bereik voor deze afschaffing. Azure DevOps markeert de betrokken serviceverbindingen in de lijst met serviceverbindingen en de gebruikersinterface voor configuratie. Als u een bestaande serviceverbinding hebt die gebruikmaakt van de Azure DevOps verlener, converteert u de bestaande verbinding in plaats van een vervangende verbinding te maken. Zie Serviceverbindingen converteren voor meer informatie.

Vereiste toestemmingen

Als u een verbinding met een workloadidentiteitsservice wilt configureren of converteren, hebt u mogelijk machtigingen nodig in zowel Azure DevOps als Azure of Microsoft Entra.

Oppervlak Benodigde machtiging
Azure DevOps Machtiging als beheerder van de serviceverbinding of als eindpuntbeheerder voor de serviceverbinding.
Door de gebruiker toegewezen beheerde identiteit Machtiging om de beheerde identiteit bij te werken en federatieve referenties toe te voegen. De minimale rol kan Inzender voor federatieve referenties voor beheerde identiteit, Inzender voor beheerde identiteit of een andere rol zijn waarmee federatieve referenties kunnen worden gemaakt.
App-registratie Eigenaarstoegang tot de app-registratie of een andere Microsoft Entra-rol waarmee federatieve referentiegegevens kunnen worden beheerd.
Doelresource Azure Machtiging voor het toewijzen van de identiteit aan de vereiste rol, zoals Inzender, voor het abonnement, de resourcegroep of de resource.

Azure DevOps machtigingen en Azure machtigingen zijn gescheiden. Een gebruiker kan mogelijk een serviceverbinding bewerken in Azure DevOps, maar heeft mogelijk nog steeds hulp nodig van een Azure-beheerder of de eigenaar van de identiteit om de federatieve referentiegegevens toe te voegen in Azure of Microsoft Entra.

Overzicht van installatieproces

In het volgende diagram worden de belangrijkste stappen toegelicht voor het configureren van een verbinding met een workloadidentity-service.

Diagram met de twee optionele paden bij het configureren van de workloadidentiteit.

Bestaande serviceverbindingen converteren

Als een bestaande serviceverbinding gebruikmaakt van de afgeschafte Azure DevOps verlener, converteert u deze om de Microsoft Entra verlener te gebruiken.

Automatische conversie gebruiken indien beschikbaar

  1. Open uw project in Azure DevOps en ga naar Project>>.

  2. Selecteer de serviceverbinding die is gemarkeerd als afgeschaft in de gebruikersinterface van de lijst of configuratie.

  3. Selecteer Bijwerken om de serviceverbinding bij te werken.

  4. Laat Azure DevOps de conversie proberen.

Als de conversie is geslaagd, gebruikt de serviceverbinding de Microsoft Entra-uitgever en is er geen verdere handmatige configuratie vereist. Zie Serviceverbindingen converteren voor gedetailleerde conversiestappen.

Handmatige conversie gebruiken wanneer automatische conversie niet is voltooid

Als Azure DevOps de identiteit niet automatisch kan bijwerken, worden de federatieve referentiewaarden weergegeven die u moet toevoegen aan Azure of Microsoft Entra. Gebruik de waarden die worden weergegeven in Azure DevOps om de federatieve referentie te maken voor de identiteit die is gekoppeld aan de serviceverbinding.

U hebt de volgende waarden uit Azure DevOps nodig:

  • Uitgever
  • Onderwerp-id

Nadat u de federatieve referentie hebt toegevoegd in Azure of Microsoft Entra, keert u terug naar de serviceverbinding in Azure DevOps en voltooit u de installatie. Zie Serviceverbindingen converteren voor gedetailleerde conversiestappen.

Beperkingen

Het uitfaseringsproces voor de Azure DevOps-issuer geldt niet voor elk workloadidentiteitsscenario.

  • Serviceverbindingen die gericht zijn op niet-openbare cloudomgevingen vallen buiten de reikwijdte van deze afschaffing.
  • Serviceverbindingen die gebruikmaken van multitenant-toepassingen vallen buiten de reikwijdte van deze uitfasering.

Een verbinding met de identiteitservice voor werklast instellen

Als u handmatig beheerde identiteitverificatie voor uw Azure-pipelines wilt instellen, voert u deze stappen uit om een beheerde identiteit te maken in Azure Portal, een serviceverbinding tot stand te brengen in Azure DevOps, federatieve referenties toe te voegen en de benodigde machtigingen te verlenen. Volg deze stappen in deze volgorde:

  1. Maak de beheerde identiteit in Azure Portal.
  2. Maak de serviceverbinding in Azure DevOps en sla deze op als concept.
  3. Voeg een federatieve referentie toe aan uw beheerde identiteit in Azure Portal.
  4. Machtigingen verlenen aan de beheerde identiteit in Azure Portal.
  5. Sla uw serviceverbinding op in Azure DevOps.

U kunt ook de REST API voor dit proces gebruiken.

Vereisten voor verificatie van beheerde identiteiten

Een beheerde identiteit maken in Azure Portal

  1. Meld u aan bij het Azure-portaal.

  2. Voer in het zoekvak Beheerde identiteiten in.

  3. Selecteer Maken.

  4. In het deelvenster Maken van door gebruiker toegewezen beheerde identiteit voert u waarden in of selecteert u deze voor de volgende items:

    • Abonnement: selecteer het abonnement waarin de door de gebruiker toegewezen beheerde identiteit moet worden gemaakt.
    • Resourcegroep: Selecteer een resourcegroep waarin u de door de gebruiker toegewezen beheerde identiteit wilt maken of selecteer Nieuw maken om een nieuwe resourcegroep te maken.
    • Regio: Selecteer een regio om de door de gebruiker toegewezen beheerde identiteit te implementeren (bijvoorbeeld: VS - oost).
    • Naam: Voer de naam in voor uw door de gebruiker toegewezen beheerde identiteit (bijvoorbeeld: UADEVOPS).

  5. Selecteer Beoordelen en maken om een nieuwe beheerde identiteit te maken. Selecteer Ga naar resource als uw implementatie is voltooid.

  6. Kopieer de waarden voor abonnement, abonnements-id en client-id voor uw beheerde identiteit voor later gebruik.

  7. Ga in uw beheerde identiteit in Azure Portal naar Instellingeneigenschappen>.

  8. Kopieer de waarde van de tenant-id om later te gebruiken.

Een serviceverbinding maken voor verificatie van beheerde identiteiten in Azure DevOps

  1. Open uw project in Azure DevOps en ga naar >Service-verbindingen.

  2. Selecteer Nieuwe serviceverbinding.

  3. Selecteer Azure Resource Manager.

  4. Selecteer het identiteitstype app-registratie of beheerde identiteit (handmatig) en selecteer vervolgens de workloadidentiteitsfederatie referentie.

    Schermopname van het selecteren van de workloadidentiteitsserviceverbinding voor beheerde identiteit.

  5. In stap 1: Basisprincipes:

    Stap 1: Basisbeginselen, voer de volgende parameters in of selecteer deze:

    Kenmerk Beschrijving
    Serviceverbindingsnaam Vereist. Gebruik deze waarde in de subject-id van uw federatieve referentiegegevens.
    Description Optional. De beschrijving van de serviceverbinding.
    Omgeving Vereist. Kies een cloudomgeving waarmee u verbinding wilt maken. Als u Azure Stack selecteert
    Directory (huurder) ID Vereist. Voer de tenant-id uit uw beheerde identiteit in.

  6. Selecteer Volgende.

  7. In stap 2: App-registratiegegevens:

    Stap 2: Details van app-registratie, voer de volgende parameters in of selecteer deze:

    Kenmerk Beschrijving
    Uitgever Vereist. DevOps maakt automatisch de URL van de verlener.
    Onderwerp-id Vereist. DevOps maakt automatisch de subject-ID.

    1. Selecteer het bereikniveau. Selecteer Abonnement, beheergroep of Machine Learning-werkruimte. Beheergroepen zijn containers die u helpen bij het beheren van toegang, beleid en naleving voor meerdere abonnementen. Een Machine Learning-werkruimte is een plek om machine learning-artefacten te maken.

      • Voer voor het abonnementsbereik de volgende parameters in:

        Kenmerk Beschrijving
        Abonnements-id Vereist. Voer de Azure-abonnements-id in.
        Abonnementsnaam Vereist. Voer de naam van het Azure-abonnement in.

      • Voer voor het bereik van de beheergroep de volgende parameters in:

        Kenmerk Beschrijving
        Beheergroep-id Vereist. Voer de azure-beheergroep-id in.
        Naam van beheergroep Vereist. Voer de naam van de Azure-beheergroep in.

      • Voer voor het bereik van de Machine Learning-werkruimte de volgende parameters in:

        Kenmerk Beschrijving
        Abonnements-id Vereist. Voer de Azure-abonnements-id in.
        Abonnementsnaam Vereist. Voer de naam van het Azure-abonnement in.
        Resourcegroep Vereist. Selecteer de resourcegroep met de werkruimte.
        Ml-werkruimtenaam Vereist. Voer de naam in van de bestaande Azure Machine Learning-werkruimte.
        Locatie van ML-werkruimte Vereist. Voer de locatie in van de bestaande Azure Machine Learning-werkruimte.

    2. Voer in de sectie Verificatie voor toepassings-id (client) de client-id in voor uw beheerde identiteit.

    3. Als u in de sectie Beveiliging de optie Toegang verlenen aan alle pijplijnen selecteert, kunnen alle pijplijnen deze verbinding gebruiken. Gebruik deze optie niet. In plaats daarvan moet u elke pijplijn afzonderlijk autoriseren om de serviceverbinding te gebruiken.

  8. Kopieer in Azure DevOps de gegenereerde waarden voor issuer en onderwerp-id.

  9. Selecteer Behouden als concept om een conceptreferentie op te slaan. U kunt de installatie pas voltooien als uw beheerde identiteit een federatieve referentie heeft in Azure Portal.

Een federatieve referentie toevoegen in Azure Portal

  1. Ga in een nieuw browservenster, binnen uw beheerde identiteit in Azure Portal, naar Instellingen>Federatieve referenties.

  2. Selecteer Referenties toevoegen.

  3. Selecteer het scenario voor andere uitgevers.

  4. Plak de waarden voor issuer en onderwerp-id die u hebt gekopieerd uit uw Azure DevOps-project in uw federatieve referenties in Azure Portal. Voor Type selecteert u Expliciete onderwerp-id.

    Schermopname van de vergelijking van federatieve referenties in Azure DevOps en Azure Portal.

  5. Voer de naam van uw federatieve referentie in.

  6. Selecteer Toevoegen.

Machtigingen verlenen aan de beheerde identiteit in Azure Portal

  1. Ga in Azure Portal naar de Azure-resource waarvoor u machtigingen wilt verlenen (bijvoorbeeld een resourcegroep).

  2. Klik op Toegangsbeheer (IAM) .

    Schermopname van het selecteren van toegangsbeheer in het resourcemenu.

  3. Selecteer Roltoewijzing toevoegen. Wijs de vereiste rol toe aan uw beheerde identiteit (bijvoorbeeld Inzender).

  4. Selecteer Controleren en toewijzen.

Uw Azure DevOps-serviceverbinding opslaan

  1. Ga in Azure DevOps terug naar uw conceptserviceverbinding.

  2. Selecteer Setup voltooien.

  3. Selecteer Verifiëren en opslaan. Wanneer deze stap is voltooid, is uw beheerde identiteit volledig geconfigureerd.

Verwante inhoud

  • Last updated on