DevOps延伸服務主體支持嗎?

[krucial_koala]

根據前麵的討論:

• 如何使用磚回購的服務主體在Azure DevOps CI / CD嗎?

建議是創建服務主體和上傳的DevOps拍磚使用Git憑據API。這種方法的主要缺點是,拍必須旋轉。

DevOps團隊最近宣布了一個新功能的可用性:“身份服務主體和管理提供一個令人興奮的新替代個人訪問令牌”

https://devblogs.microsoft.com/devops/introducing-service-principal-and-managed-identity-support-on-..。

將磚支持這個功能嗎?目前,如果我運行一個工作流的工作一個服務主體訪問DevOps回購我得到這個錯誤信息:

[Debayan]

你好,

Git存儲庫帕特隻能生成一個用戶(如本指南https://learn.microsoft.com/en-us/azure/devops/organizations/accounts/use-personal-access-tokens-to-..。)而不是一個服務主體。你需要使用一些用戶的Git帕特(自己的帕特在Azure DevOps應該工作)的服務主體當調用API: Git憑證https://stackoverflow.com/questions/72256036/azure-databricks-api-cannot-add-repos-using-service-pri..。

請讓我們知道這有幫助。另外,請標記@Debayan與你的下一個評論,這樣我將得到通知。謝謝你！

[krucial_koala]

嗨@Debayan穆克吉,謝謝你回到我。

微軟建議盡可能不使用拍:

然而,使用身份驗證方法與一個人也意味著依賴的單點故障。當用戶離開了公司,帕特駕駛團隊應用程序將無法訪問所有其他團隊成員

他們還說:

此外,拍的是不記名令牌,可以輕易泄露和落入壞人之手……我們歡迎你來探索服務主體和管理身份。

基於用戶的風險離開,和令牌漏,我們有一個公司的政策,限製帕特一生90天。

這些屬性很難解決方案投入生產。

DevOps現在支持訪問服務不用拍,所以大概磚可以請求服務主體的不記名令牌運行工作,從Azure廣告?

[Debayan · Accepted solution]

嗨,Azure廣告令牌服務原則,

• 定義一個服務主體在Azure活動目錄,然後得到一個Azure廣告訪問令牌為服務主體,而不是一個用戶。您配置的服務主體作為一個可以執行身份驗證和授權策略在Azure磚。服務主體的Azure磚工作區可以有不同的細粒度訪問控製比普通用戶(用戶主體)。

參考:https://learn.microsoft.com/en-us/azure/databricks/dev-tools/api/latest/aad/

要注意,作為一個安全最佳實踐,驗證自動化工具時,係統中,腳本和應用程序,磚屬於建議您使用訪問令牌服務主體而不是用戶工作區。為服務主體,創建訪問令牌管理服務主體的訪問令牌。

管理拍的,你可以參考:https://learn.microsoft.com/en-gb/azure/databricks/administration-guide/access-control/tokens

請讓我們知道這有幫助。另外,請標記@Debayan與你的下一個評論,這樣我將得到通知。謝謝你！

[cKunal]

嗨@Debayan。後搜索很多最後我偶然發現了你的回答,但是我還有些問題要問。我想安裝一個包(瓶= = 2.0.2)從Azure Devops門戶使用磚。為此我使用帕特和傳遞的% pip安裝在磚。現在我已經創建了一個服務主體和使用相同的我在Azure Devops的服務連接,但在使用這個,我不能夠運行我的pip安裝。我擦淨了一種可能的解決方案。你能請幫助。