Используйте регистрацию приложения в качестве PAT для Azure DevOps

Насколько мне известно, в Azure DevOps федеративные учетные данные приложений Microsoft Entra могут быть доступны только для подключения к службе Azure Resource Manager.

Если вы хотите использовать приложение Microsoft Entra в качестве аутентификации для доступа к ресурсам Azure DevOps, вы можете попытаться создать токен доступа (токен Microsoft Entra ID) для приложения, выполнив следующие действия:

Предварительные требования в AAD

1. Перейдите в Microsoft Entra ID > Регистрации приложений, чтобы создать субъект-службу, если у вас его нет в текущем клиенте.

2. Откройте субъект-службу, перейдите на вкладку «Сертификаты и секреты» > «Секреты клиента», чтобы создать секрет клиента для субъекта-службы, если действительный секрет клиента не существует. Скопируйте и запомните значение секрета клиента.

Предварительные требования в организации Azure DevOps

1. Перейдите в «Настройки организации» > «Microsoft Entra» и убедитесь, что организация подключилась к клиенту, в котором находится субъект службы.

2. Перейдите в «Настройки организации» > «Пользователи», найдите и добавьте принципала службы в организацию.

3. Добавьте субъекта-службы в группу организации, чтобы можно было управлять разрешениями субъекта-службы через эту группу в организации.

Создайте токен Microsoft Entra ID для субъекта-службы.

Вы можете использовать один из следующих способов создания токена:

1. Использование Bash-скрипта.

   access_token=$(curl -X POST \
   -H "Content-Type: application/x-www-form-urlencoded" \
   'https://login.microsoftonline.com/{tenant_ID}/oauth2/v2.0/token' \
   -d 'grant_type=client_credentials&client_id = {client_id}&client_secret = {client_secret}&scope=499b84ac-1321-427f-aa17-267ca6975798/.default' \
   | jq -r '.access_token')
   

   • Замените {tenant_ID} идентификатором каталога (арендатора) арендатора.
   • Замените {client_id} на идентификатор приложения (клиента) принципала службы.
   • Замените {client_secret} значением секрета клиента, созданного в объекте службы.

2. Использование Почтальона.

Примечание:

Этот токен Microsoft Entra ID имеет срок действия всего 24 часа, поскольку Microsoft Entra регулярно меняет токен. Таким образом, вам необходимо обновлять токен не реже одного раза в 24 часа.

Дополнительные сведения см. в разделе «Использование субъектов службы и управляемых удостоверений».