azure - 如何在 Azure Devops 部署中不使用基本身份验证

Question

出于合规性原因，我们必须关闭 Azure Web 应用程序上的基本身份验证。

我们在 Azure Devops Pipeline 中使用服务主体，但在没有基本身份验证的情况下会失败。我认为它可能正在使用服务主体下载发布配置文件。有没有办法在以下部署步骤中不使用基本身份验证:

- task: AzureRmWebAppDeployment@4
  inputs:
    ConnectionType: 'AzureRM'
    azureSubscription: '<service principal name>'
    appType: 'webApp'
    WebAppName: '<webapp name>'
    packageForLinux: '$(Build.ArtifactStagingDirectory)/**/DeployApp.zip'

Answer 1

我的一位客户遇到了问题。用于在 Azure Web App 服务上发布 Web App 的 Azure Devops 管道在 ZIP 发布步骤中停止工作并出现错误 403(一直工作到 2023 年 4 月中旬)

用户面临的挑战是他们将最小权限概念应用于所有身份。它适用于与 Azure Devops 服务连接一起使用的服务主体。这意味着 SP 没有内置的“贡献者”角色，而是仅具有所需权限的自定义角色。

经过调查，我们发现现在需要以下权限:“Microsoft.Web/sites/basicPublishingCredentialsPolicies/*/阅读”

因此，我的理解是，Azure Devops 服务主体会检查 Web 应用程序级别(如果您也部署在插槽上[未测试]，则在插槽级别)授权哪些基本身份验证协议(protocol)。

如果以后可以帮助任何人，我会将这些信息推到此处:-)