Definir manualmente uma conexão de serviço de identidade de carga de trabalho do Azure Resource Manager

Serviços de DevOps do Azure | Azure DevOps Server | Azure DevOps Server 2022

Ao solucionar problemas de uma conexão de serviço de identidade de carga de trabalho do Azure Resource Manager, talvez seja necessário configurar manualmente a conexão em vez de usar a ferramenta automatizada disponível no Azure DevOps.

Antes de começar uma configuração manual, experimente a abordagem automatizada.

Para autenticação, pode usar uma identidade gerida ou um registo de aplicação. A opção de identidade gerida é útil se não tiver permissões para criar princípios de serviço ou se estiver a usar um tenant Microsoft Entra diferente do seu utilizador Azure DevOps.

Descontinuação do emitente do Azure DevOps

As ligações de serviço de federação de identidade de carga de trabalho que utilizam o emissor Azure DevOps (https://vstoken.dev.azure.com) estão obsoletas e irão ser retiradas a 1 de julho de 2027. As novas ligações de serviço da federação de identidades de carga de trabalho utilizam, por predefinição, o emissor do Microsoft Entra (https://login.microsoftonline.com/). Se a sua ligação de serviço atual estiver marcada como descontinuada, converta-a para o emissor do Microsoft Entra antes da data de descontinuação.

Esta descontinuação aplica-se apenas a ligações de serviço elegíveis na cloud pública do Azure que utilizem aplicações Microsoft Entra de inquilino único ou identidades geridas. As ligações de serviço destinadas a nuvens não públicas e as ligações de serviço que utilizam aplicações multicliente estão fora do âmbito desta depreciação. O Azure DevOps assinala as ligações de serviço afetadas na lista de ligações de serviço e na IU de configuração. Se tiveres uma ligação de serviço existente que usa o emissor do Azure DevOps, converte a ligação existente em vez de criar uma ligação de substituição. Consulte Conversão de ligações de serviço para obter mais detalhes.

Permissões necessárias

Para configurar ou converter uma ligação de serviço de identidade de carga de trabalho, pode precisar de permissões tanto no Azure DevOps como no Azure ou Microsoft Entra.

Área Permissão necessária
Azure DevOps Permissão de administrador de ligação ao serviço ou de administrador de endpoint na ligação ao serviço.
Identidade gerenciada atribuída pelo usuário Permissão para atualizar a identidade gerida e adicionar credenciais federadas. O papel mínimo pode ser Contribuidor de Credenciais Federadas de Identidade Gerida, Contribuidor de Identidade Gerida, ou outra função que permita criar credenciais federadas.
Registo na aplicação Acesso do proprietário ao registo da aplicação ou a outro papel Microsoft Entra que permita gerir credenciais federadas.
Recurso do Azure de destino Permissão para atribuir à identidade o papel necessário, como Contribuidor, na subscrição, grupo de recursos ou recurso.

As permissões Azure DevOps e Azure são separadas. Um utilizador pode conseguir editar uma ligação de serviço no Azure DevOps, mas ainda assim precisar de ajuda de um administrador ou proprietário de identidade do Azure para adicionar a credencial federada no Azure ou Microsoft Entra.

Visão geral do processo de configuração

O diagrama seguinte ilustra os passos gerais para configurar uma ligação de serviço de identidade de carga de trabalho:

Diagrama que mostra os dois caminhos opcionais ao configurar a identidade da carga de trabalho.

Converter as ligações de serviço existentes

Se uma ligação de serviço existente usar o emissor Azure DevOps obsoleto, converta-o para usar o emissor Microsoft Entra.

Use a conversão automática quando disponível

  1. No Azure DevOps, abra o seu project e vá às definições> do ProjectPipelines>Service connections.

  2. Selecione a ligação de serviço que está marcada como obsoleta na lista ou na interface de configuração.

  3. Selecione Atualizar para atualizar a ligação ao serviço.

  4. Deixe o Azure DevOps tentar a conversão.

Se a conversão for bem-sucedida, a ligação de serviço utiliza o emissor Microsoft Entra e não é necessária mais configuração manual. Consulte Converter ligações de serviço para passos detalhados de conversão.

Use a conversão manual quando a conversão automática não estiver concluída

Se o Azure DevOps não conseguir atualizar automaticamente a identidade, mostra os valores federados de credenciais que precisa de adicionar no Azure ou Microsoft Entra. Use os valores mostrados no Azure DevOps para criar a credencial federada na identidade associada à ligação de serviço.

Precisa dos seguintes valores do Azure DevOps:

  • Emissor
  • Identificador do assunto

Depois de adicionar a credencial federada no Azure ou Microsoft Entra, volte à ligação de serviço no Azure DevOps e complete a configuração. Para passos detalhados de conversão, veja Converter ligações de serviço.

Limitações

O processo de descontinuação do emissor no Azure DevOps não se aplica a todos os cenários de identidade da carga de trabalho.

  • As ligações de serviço que têm como destino nuvens não públicas não são abrangidas por esta descontinuação.
  • As ligações de serviço que utilizam aplicações multitenant estão fora do âmbito desta desvalorização.

Definir uma conexão de serviço de identidade de carga de trabalho

Para configurar manualmente a autenticação de identidade gerenciada para seus Pipelines do Azure, siga estas etapas para criar uma identidade gerenciada no portal do Azure, estabelecer uma conexão de serviço no Azure DevOps, adicionar credenciais federadas e conceder as permissões necessárias. Siga estes passos por esta ordem:

  1. Crie a identidade gerenciada no portal do Azure.
  2. Crie a conexão de serviço no Azure DevOps e salve como rascunho.
  3. Adicione uma credencial federada à sua identidade gerenciada no portal do Azure.
  4. Conceda permissões à identidade gerenciada no portal do Azure.
  5. Salve sua conexão de serviço no Azure DevOps.

Você também pode usar a API REST para esse processo.

Pré-requisitos para autenticação de identidade gerenciada

Criar uma identidade gerenciada no portal do Azure

  1. Inicie sessão no portal do Azure.

  2. Na caixa de pesquisa, introduza Identidades Geridas.

  3. Selecione Criar.

  4. No painel Criar Identidade Gerenciada Atribuída ao Usuário, insira ou selecione valores para os seguintes itens:

    • Assinatura: selecione a assinatura na qual criar a identidade gerenciada atribuída pelo usuário.
    • Grupo de recursos: selecione um grupo de recursos para criar a identidade gerenciada atribuída pelo usuário ou selecione Criar novo para criar um novo grupo de recursos.
    • Região: selecione uma região para implantar a identidade gerenciada atribuída pelo usuário (exemplo: Leste dos EUA).
    • Nome: insira o nome da identidade gerenciada atribuída pelo usuário (exemplo: UADEVOPS).

  5. Selecione Revisar + criar para criar uma nova identidade gerida. Quando a implementação for concluída, selecione Ir para recurso.

  6. Copie os valores de Assinatura, ID da Assinatura e ID do Cliente para a sua identidade gerida usar mais tarde.

  7. Dentro da sua identidade gerida no portal do Azure, vá para Configurações>Propriedades.

  8. Copie o valor Tenant Id para usar mais tarde.

Criar uma conexão de serviço para autenticação de identidade gerenciada no Azure DevOps

  1. No Azure DevOps, abra o seu projeto e vá para >Pipelines>ligações de serviço.

  2. Selecione Nova conexão de serviço.

  3. Selecione Azure Resource Manager.

  4. Selecione o tipo de identidade Registo de Aplicação ou Identidade Gerida (manual) e depois selecione a credencial Federação de Identidades de Carga de Trabalho.

    Captura de ecrã que mostra a seleção da conexão do serviço Identidade de Trabalho para identidade gerida.

  5. No Passo 1: Noções Básicas:

    Passo 1: Básicos, introduza ou selecione os seguintes parâmetros:

    Parâmetro Descrição
    Nome da conexão de serviço Obrigatório. Use este valor no seu identificador de sujeito de credencial federado.
    Description Optional. A descrição da conexão de serviço.
    Ambiente Obrigatório. Escolha um ambiente de nuvem para se conectar. Se você selecionar Azure Stack, insira a URL do ambiente, que é algo como https://management.local.azurestack.external.
    ID da diretoria (tenant) Obrigatório. Introduza o ID do Inquilino a partir da sua identidade gerida.

  6. Selecione Seguinte.

  7. No Passo 2: Detalhes de registo da aplicação:

    Passo 2: Detalhes do registo da aplicação, introduza ou selecione os seguintes parâmetros:

    Parâmetro Descrição
    Emissor Obrigatório. O DevOps cria automaticamente a URL do emissor.
    Identificador do assunto Obrigatório. O DevOps cria automaticamente o identificador de assunto.

    1. Selecione o Nível de Escopo. Selecione Assinatura, Grupo de Gerenciamento ou Espaço de Trabalho de Aprendizado de Máquina. Os grupos de gerenciamento são contêineres que ajudam a gerenciar o acesso, a política e a conformidade em várias assinaturas. Um Espaço de Trabalho de Aprendizado de Máquina é o local para criar artefatos de aprendizado de máquina.

      • Para o escopo Assinatura, insira os seguintes parâmetros:

        Parâmetro Descrição
        ID da subscrição Obrigatório. Insira a ID de assinatura do Azure.
        Nome da subscrição Obrigatório. Insira o nome da assinatura do Azure.

      • Para o escopo do Grupo de Gerenciamento, insira os seguintes parâmetros:

        Parâmetro Descrição
        ID do Grupo de Gestão Obrigatório. Insira a ID do grupo de gerenciamento do Azure.
        Nome do Grupo de Gerenciamento Obrigatório. Insira o nome do grupo de gerenciamento do Azure.

      • Para o escopo do Espaço de Trabalho de Aprendizado de Máquina , insira os seguintes parâmetros:

        Parâmetro Descrição
        ID da subscrição Obrigatório. Insira a ID de assinatura do Azure.
        Nome da subscrição Obrigatório. Insira o nome da assinatura do Azure.
        Grupo de Recursos Obrigatório. Selecione o grupo de recursos que contém o espaço de trabalho.
        Nome do espaço de trabalho de ML Obrigatório. Insira o nome do espaço de trabalho existente do Azure Machine Learning.
        Localização do espaço de trabalho de ML Obrigatório. Insira o local do espaço de trabalho existente do Azure Machine Learning.

    2. Na secção Autenticação, para ID da aplicação (cliente), introduza o ID do cliente da sua identidade gerida.

    3. Na secção de Segurança, se selecionares Conceder permissão de acesso a todos os pipelines, todos os pipelines podem usar esta ligação. Não uses esta opção. Em vez disso, autorize cada pipeline individualmente a usar a conexão de serviço.

  8. No Azure DevOps, copie os valores gerados para Emissor e identificador de Assunto.

  9. Selecione Manter como rascunho para guardar uma credencial como rascunho. Você não pode concluir a instalação até que sua identidade gerenciada tenha uma credencial federada no portal do Azure.

Adicionar uma credencial federada no portal do Azure

  1. Em uma nova janela do navegador, dentro de sua identidade gerenciada no portal do Azure, vá para Configurações>Credenciais federadas.

  2. Selecione Adicionar credenciais.

  3. Selecione o cenário Outro Emissor.

  4. Cole os valores para Emissor e Identificador de sujeito que copiou do projeto Azure DevOps nas suas credenciais federadas no portal do Azure. Em Tipo, selecione Identificador de assunto explícito.

    Comparação de captura de tela de credenciais federadas no Azure DevOps e no portal do Azure.

  5. Insira o Nome da sua credencial federada.

  6. Selecione Adicionar.

Conceder permissões à identidade gerenciada no portal do Azure

  1. No portal do Azure, vá para o recurso do Azure para o qual você deseja conceder permissões (por exemplo, um grupo de recursos).

  2. Selecione Controlo de acesso (IAM) .

    Captura de tela que mostra a seleção de Controle de acesso no menu de recursos.

  3. Selecione Adicionar atribuição de função. Atribua a função necessária à sua identidade gerenciada (por exemplo, Colaborador).

  4. Selecione Rever e atribuir.

Salvar sua conexão de serviço do Azure DevOps

  1. No Azure DevOps, volte à sua conexão de serviço de rascunho.

  2. Selecione Concluir configuração.

  3. Selecione Verificar e salvar. Quando esta etapa é concluída com sucesso, a sua identidade gerida está totalmente configurada.

Conteúdo relacionado

  • Last updated on