azure-devops - 使用 Azure AD 用户构建代理身份验证

Question

我们已从 TFS 2017 更改为 Azure DevOps 服务。在 TFS 中，我们使用 AD 对用户进行身份验证。对于 Azure DevOps 服务，我们使用 Azure AD。所以我想在本地机器上配置一个自托管构建代理。我尝试使用 PAT 身份验证，它按预期工作。只是为了看看它是否有效，我尝试了其他身份验证类型:

--auth <type> - authentication type. Valid values are:

pat (Personal access token) --> works
negotiate (Kerberos or NTLM) --> not working because of Azure AD authentication
alt (Basic authentication) --> ?
integrated (Windows default credentials) --> not working because of Azure AD authentication

我尝试使用我用来成功通过 PAT 进行身份验证的用户的用户名(电子邮件)和密码进行身份验证。但是每次我都收到用户无权访问服务器的消息。

难道无法使用 Azure DevOps Services 用户的用户名和密码而不是 PAT 来验证构建代理？

当我尝试通过 API 使用 Azure DevOps 服务进行身份验证时，我遇到了同样的问题。但在那里我可以使用 VssAadCredential 而不是 VssBasicCredential。

构建代理配置是否有类似的东西，还是我做错了什么？

Answer 1

您只能使用 PAT 或备用凭据(git 用户名+密码)将 Azure DevOps 代理连接到 Azure DevOps(云)。

您不能使用 Azure Active Directory 连接代理。

内部部署允许 NTLM/kerberos 身份验证。

---

了解 PAT 仅用于注册代理可能会有用。在注册期间，代理会协商自己的凭据和加密 key 。

您可以在连接代理后撤销 PAT，您的代理将保持连接而不会出现问题。

有关 Azure Pipelines 代理的身份验证设计的更多详细信息:

• https://github.com/microsoft/azure-pipelines-agent/blob/master/docs/design/auth.md