运行 DevOps 服务器部署模板时，Azure LinkedAuthorization 在 Active Directory 帐户/Key Vault 身份验证上失败

Question

我正在尝试将 Azure DevOps Server 的本地实例部署到 Azure 政府订阅中的 VM(本质上它似乎不支持标准 DevOps)。

此模板在直接来自 Microsoft 的支持 Material 中引用:

https://github.com/usri/deploy_DevOps_Server_AzureSQL

所有引用的资源都是为了让该服务器运行而从头开始创建的。

这需要 AAD 帐户以及存储在 Key Vault 中的关联密码。但是，我每次尝试运行模板都会在“写入 VirtualMachines”步骤中返回以下错误(当所有其他组件都通过时):

The client has permission to perform action 'Microsoft.Compute/images/read' on scope '(MY_SUBSCRIPTION)\(MY_RESOURCEGROUP)\(VM)', however the current tenant '(MY_KEYVAULT)' is not authorized to access linked subscription '(ID in the template with the deployment files)'

在我看来，无法从 Key Vault 检索密码 - 这是 Secret 的格式问题吗？某个地方的访问控制问题？我尝试了两者的多种组合。希望这只是一个微不足道的问题..

Answer 1

我是该存储库中代码的原始作者。我继续将拉取请求合并到该存储库中，这应该可以解决您的问题。我做了以下事情:

• 更新了自述文件以包含有关创建镜像的信息
• 使用 Key Vault 和图像引用的参数更新了 azuredeploy.json
• 更新了 ps1 文件以消除 KV 的硬链接(hard link)(我的疏忽特别严重，抱歉)。
• 更新并测试了最新版本 Azure DevOps Server 2020 的所有内容

这应该可以解决您的问题和其他几个相关问题。我从头开始重新测试了整个部署，它按设计工作。其他一些简短说明:

USRI 及其所有存储库(包括此处使用的存储库)不是 Microsoft 官方存储库。他们代表了一个致力于受监管实体客户的开源 Azure 社区。在那里做出贡献的成员主要是 Microsoft 员工，而存储库本身只是代表了有趣的、有时可能是感兴趣的利基模板。

此特定存储库展示了在没有可用或允许的 Internet 连接时可以使用 Azure 模板来部署服务的方式。我只是使用 Azure DevOps Server，因为它很有趣并且受监管的行业客户使用它。

祝一切顺利