AzureDevOps - 将订阅移动到不同的 AD 后无法获取访问 token

Question

已将 Azure 订阅从 Active Directory AD1 移至 Active Directory AD2。现在，任务开始失败，因为以前的 ARM 端点(通过 Auto SPN)是使用旧端点详细信息创建的。因此任务无法生成正确的访问 token 。

错误消息

The access token is from the wrong issuer 'https://sts.windows.net/***/'. It must match the tenant 'https://sts.windows.net/<TenantIdNew>/' associated with this subscription.
Please use the authority (URL) 'https://login.windows.net/<TenantIdNew>' to get the token. 
Note, if the subscription is transferred to another tenant there is no impact to the services, but information about new tenant could take time to propagate (up to an hour). If you just transferred your subscription and see this error message, please try back later. (CODE: 401)

其他问题

1. 如何找到我的 VSTS 支持哪个租户？在哪里可以找到它？
2. 如何找到我的订阅受哪个租户支持？在哪里可以找到它？
3. 迁移到 AD2 后是否可以重复使用之前(使用 AD1)创建的服务端点？
4. 迁移到 AD2 后是否可以更新现有服务端点中的租户 ID(通过 REST API)？
5. 基于 MSI 的服务端点是否会被破坏，或者在迁移到 AD2 后是否可用？

Answer 1

有以下可能的解决方案:

1. 通过 AzureDevOps 帐户更改您支持的事件目录 AD1至AD2
2. 在事件目录中建立信任关系 AD1和AD2 .
3. 首先，通过 script 创建 SPN然后使用脚本提供的详细信息创建手动端点。

其他问题的答案

1. 如何找到我的 VSTS 支持哪个租户？在哪里可以找到它？

   转到 AzureDevOps 帐户 > 组织 > Azure Active Directory

2. 如何找到我的订阅受哪个租户支持？在哪里可以找到它？

   转到 Azure 门户 > 订阅 > 选择您的订阅 > 概述

3. 迁移到 AD2 后是否可以重复使用之前(通过 AD1)创建的服务端点？

   是的。

   首先让我们了解服务端点在内部的作用。

   1. 在 AD 中创建应用。
   2. 通过订阅为其分配权限。

   
   现在让我们回顾一下我们的案例，

   1. 您创建了与 AD1 的服务连接，表示 AD 应用 app1正在事件目录 AD1 中创建并分配了订阅权限 S
   2. 您已移动订阅 S到另一个事件目录AD2 ，但是AD应用程序app1仍然驻留在以前的事件目录 AD1 .

   
   要重新使用现有服务端点，您必须更新 SPN Id , SPN key和tenant Id在服务端点中。

   如果是手动服务连接，可以通过 UI 轻松更新，但如果是自动 SPN 流，则必须通过 REST API 更新上述字段。

4. 迁移到 AD2 后是否可以更新现有服务端点中的租户 ID(通过 REST API)？

   是的。

   获取所有端点

   请求类型 - 获取

   https://<accountName>.visualstudio.com/<ProjectName>/_apis/distributedtask/serviceendpoints?api-version=3.2-preview.1
   

   获取特定端点

   请求类型 - 获取

   https://<accountName>.visualstudio.com/<ProjectID>/_apis/distributedtask/serviceendpoints/<SERVICE_ENDPOINT_ID>?api-version=3.2-preview.1
   

   现在更新tenant Id作为响应并将其用作更新端点 REST API 中的主体。

   更新端点

   请求类型 - PUT

   https://<accountName>.visualstudio.com/<ProjectID>/_apis/distributedtask/serviceendpoints/<SERVICE_ENDPOINT_ID>?api-version=3.2-preview.1
   

5. 基于 MSI 的服务端点是否会被破坏，或者在迁移到 AD2 后它们是否可用？

   是的，您只需更新 tenant Id在服务连接中。