azure - 从 Azure Devops 托管代理访问私有(private)存储帐户

Question

我正在尝试访问azure blob存储帐户，以从使用azure devops 托管代理运行的管道中写入一些文件。我们还无法将 azure devops 服务标记与 azure devops 托管代理一起使用

我想知道是否有一个智能解决方案可以从我的托管代理访问我的 blob 存储，而无需将其开放到所有互联网。

先谢谢你们了

Answer 1

根据您的要求，您需要使用 Microsoft 托管代理访问私有(private)存储帐户。

据我所知，目前 Azure 存储帐户在设置防火墙时不支持服务标签。

为了满足您的要求，您可以使用脚本获取当前 Microsoft 托管的代理 IP，并通过 Azure CLI 或 Azure PowerShell 将其添加到 Azure 存储帐户防火墙白名单。

例如:

steps:
- task: AzurePowerShell@5
  displayName: 'Azure PowerShell script: Set Rule'
  inputs:
    azureSubscription: kevin0215
    ScriptType: InlineScript
    Inline: |
     $IP= Invoke-RestMethod http://ipinfo.io/json | Select -exp ip
     
     $IP
     
     Add-AzStorageAccountNetworkRule -ResourceGroupName "ResourceGroup" -AccountName "kevin0204" -IPAddressOrRange "$IP"
     
     
     
    preferredAzurePowerShellVersion: ' 3.1.0'

- task: AzureFileCopy@4
  displayName: 'AzureBlob File Copy'
  inputs:
    SourcePath: test
    azureSubscription: kevin0322
    Destination: AzureBlob
    storage: test
    ContainerName: 1


- task: AzurePowerShell@5
  displayName: 'Azure PowerShell script: Remove Rule'
  inputs:
    azureSubscription: kevin0215
    ScriptType: InlineScript
    Inline: |
     $IP= Invoke-RestMethod http://ipinfo.io/json | Select -exp ip
     
     $IP
     
     Remove-AzStorageAccountNetworkRule -ResourceGroupName "ResourceGroup" -AccountName "kevin0204" -IPAddressOrRange "$IP"
     
     
    preferredAzurePowerShellVersion: ' 3.1.0'

说明:

您可以在上传文件之前将IP添加到防火墙白名单中。上传后，您可以删除该IP。

注意::当前的 Azure 存储帐户有一个已知的限制。请参阅此文档:Limitations of Azure Storage Account IP network rules .

当您的 Azure Devops 服务组织和 Azure 存储帐户位于同一区域时，将通过私有(private) IP 访问它们。这可能会导致间歇性访问问题。