Создание федерации удостоверений рабочей нагрузки Azure DevOps с помощью Az CLI/Az PS

Как упоминалось в этом MS Doc, сначала необходимо определить файл конфигурации для создания конечной точки службы типа Workload Identity Federation через Azure CLI.

Devops.json:

{
    "data": {
      "subscriptionId": "subId",
      "subscriptionName": "subName",
      "environment": "AzureCloud",
      "scopeLevel": "Subscription"
    },
    "name": "WorkFederatedSE",
    "type": "azurerm",
    "url": "https://management.azure.com/",
    "authorization": {
      "scheme": "WorkloadIdentityFederation",
      "parameters": {
        "tenantid": "tenantId",
        "serviceprincipalid": "appId"
      }
    },
    "isShared": false,
    "isReady": true,
    "serviceEndpointProjectReferences": [
      {
        "projectReference": {
          "id": "projectId",
          "name": "projName"
        },
        "name": "WorkFederatedSE"
      }
    ]
  }

В моем случае я загрузил этот файл .json в Azure Cloud Shell и выполнил команду CLI, чтобы создать подключение к службе после подключения с помощью az login:

az devops service-endpoint create --service-endpoint-configuration ./devops.json --org https://dev.azure.com/orgName/ --project projName

Ответ:

Когда я проверил то же самое на портале Azure DevOps, новое подключение к службе было успешно создано следующим образом:

Вы можете проверить свойства подключения к этой службе, нажав кнопку Edit с типом «Федерация удостоверений рабочей нагрузки с OpenID Connect», как показано ниже:

Чтобы создать то же самое с помощью REST API Azure DevOps, используйте следующий запрос:

POST https://dev.azure.com/orgname/_apis/serviceendpoint/endpoints?api-version=7.1-preview.4

{
    "data": {
      "subscriptionId": "subId",
      "subscriptionName": "subName",
      "environment": "AzureCloud",
      "scopeLevel": "Subscription"
    },
    "name": "WorkFederatedSE",
    "type": "azurerm",
    "url": "https://management.azure.com/",
    "authorization": {
      "scheme": "WorkloadIdentityFederation",
      "parameters": {
        "tenantid": "tenantId",
        "serviceprincipalid": "appId"
      }
    },
    "isShared": false,
    "isReady": true,
    "serviceEndpointProjectReferences": [
      {
        "projectReference": {
          "id": "projectId",
          "name": "projName"
        },
        "name": "WorkFederatedSE"
      }
    ]
  }

Ответ:

Для подключения службы типа «Azure Resource Manager с использованием федерации Workload Identity с OpenID Connect (автоматически)» добавьте "creationMode": "Automatic", в раздел данных и удалите serviceprincipalid следующим образом:

POST https://dev.azure.com/orgname/_apis/serviceendpoint/endpoints?api-version=7.1-preview.4

{
    "data": {
      "subscriptionId": "subId",
      "subscriptionName": "subName",
      "creationMode": "Automatic", //Add this
      "environment": "AzureCloud",
      "scopeLevel": "Subscription"
    },
    "name": "WorkFederatedSEAut",
    "type": "azurerm",
    "url": "https://management.azure.com/",
    "authorization": {
      "scheme": "WorkloadIdentityFederation",
      "parameters": {
        "tenantid": "tenantId"
      }
    },
    "isShared": false,
    "isReady": true,
    "serviceEndpointProjectReferences": [
      {
        "projectReference": {
          "id": "projectId",
          "name": "projName"
        },
        "name": "WorkFederatedSEAut"
      }
    ]
  }

Ответ:

Когда я проверил на портале DevOps, новое сервисное соединение автоматического типа создано успешно:

Ссылка:

Конечные точки — Создать — REST API (конечная точка службы Azure DevOps) | Майкрософт