Megosztás:


Saját üzemeltetésű ügynökhitelesítési lehetőségek

Az Azure Pipelines számos hitelesítési lehetőséget kínál, amelyeket az ügynök regisztrálásakor használhat. Ezeket a hitelesítési módszereket csak az ügynökregisztráció során használják. Lásd a Ügynökök kommunikációja részben, hogyan kommunikálnak az ügynökök a regisztráció után.

Ügynökregisztrációs módszer Azure DevOps Services Azure DevOps Server > TFS
személyes hozzáférési jogkivonat (PAT) Támogatott Támogatott, ha a kiszolgáló HTTPS-vel van konfigurálva
szolgáltatásfelelős (SP) Támogatott Jelenleg nem támogatott
Eszközkód-folyamat (Microsoft Entra ID) Támogatott Jelenleg nem támogatott
integrált Nem támogatott Csak Windows-ügynökök
Tárgyalj Nem támogatott Csak Windows-ügynökök
Alternatív (ALT) Nem támogatott Támogatott, ha a kiszolgáló HTTPS-vel van konfigurálva

Személyes hozzáférési jogkivonat (PAT)

Adja meg a PAT-ot hitelesítési típusként az ügynökkonfiguráció során, hogy az ügynökregisztráció alatt személyes hozzáférési jogkivonatot használjon. Ezután adja meg a személyes hozzáférési jogkivonatot (PAT) Agent Pools (olvasás, kezelés) hatókörrel (vagy Deployment group (olvasás, kezelés) hatókörrel egy deployment group ügynökhöz) az ügynökregisztrációhoz.

További információ: Ügynök regisztrálása személyes hozzáférési jogkivonat (PAT) használatával

Szolgáltatási főazonosító

Adja meg a SP-et az ügynök konfigurálásakor a hitelesítés típusához, hogy egy szolgáltatási főnévvel hitelesíthesse az ügynök regisztrálása során.

További információ: Ügynök regisztrálása szervizfőfelhasználó használatával.

Eszközkód-folyamat

Adja meg AAD hitelesítés típusát az ügynökkonfiguráció során, hogy az eszközkód-folyamat használatával hitelesítse az ügynökregisztráció során.

További információ: Ügynök regisztrálása eszközkód-folyamathasználatával.

Integrált

Az ügynökregisztráció integrált Windows-hitelesítése csak az Azure DevOps Serveren és a TFS-en futó Windows-ügynökregisztrációhoz érhető el.

Adja meg a Integrált az ügynök konfigurálása során az autentikáció típusaként, hogy az ügynök regisztrációja során integrált Windows hitelesítést használjon.

Windows-ügynök csatlakoztatása a TFS-hez a bejelentkezett felhasználó hitelesítő adataival egy Windows-hitelesítési sémán keresztül, például NTLM vagy Kerberos használatával.

A hitelesítési módszer használatához először konfigurálnia kell a TFS-kiszolgálót.

  1. Jelentkezzen be abba a gépbe, amelyen futtatja a TFS-t.

  2. Indítsa el az Internet Information Services (IIS) kezelőjét. Válassza ki a TFS-webhelyet, és győződjön meg arról, hogy a Windows-hitelesítés engedélyezve van egy érvényes szolgáltatónál, például az NTLM-ben vagy a Kerberosban.

Képernyőkép az IIS TFS windowsos hitelesítési konfigurációjáról.

Képernyőkép az IIS TFS windowsos hitelesítéséről az NTLM-szolgáltató konfigurációjával.

Tárgyal

Az ügynökregisztráció egyeztetési hitelesítési módszere csak az Azure DevOps Serveren és a TFS-en futó Windows-ügynökregisztrációhoz érhető el.

Csatlakozzon a TFS-hez a bejelentkezett felhasználótól eltérő felhasználóként egy Olyan Windows-hitelesítési sémán keresztül, mint az NTLM vagy a Kerberos.

A hitelesítési módszer használatához először konfigurálnia kell a TFS-kiszolgálót.

  1. Jelentkezzen be arra a gépre, amelyen a TFS-t futtatja.

  2. Indítsa el az Internet Information Services (IIS) kezelőjét. Válassza ki a TFS-webhelyet, és győződjön meg arról, hogy a Windows-hitelesítés engedélyezve van az Egyeztetés szolgáltatóval és egy másik módszerrel, például az NTLM-sel vagy a Kerberossal.

Képernyőkép az IIS TFS windowsos hitelesítési konfigurációjáról.

Az IIS TFS Windows-hitelesítés képernyőképe negóciálási és NTLM-szolgáltató konfigurációval.

Alternatíva (ALT)

Az ügynökregisztráció alternatív (alapszintű) hitelesítési módszere csak az Azure DevOps Serveren és a TFS-en érhető el.

Csatlakozzon a TFS-hez alapszintű hitelesítéssel. A módszer használatához először konfigurálnia kell a HTTPS-t a TFS-en.

A hitelesítési módszer használatához a következő módon kell konfigurálnia a TFS-kiszolgálót:

  1. Jelentkezzen be arra a gépre, ahol a TFS-t futtatja.

  2. Alapszintű hitelesítés konfigurálása. Lásd: tfx használata a Team Foundation Server 2015 ellen alapszintű hitelesítés használatával.

Jegyzet

Termékterv szerint az OAuth-hitelesítés működéséhez IIS-alapú névtelen hitelesítésre van szükség. Ezt az OAuth-hitelesítést az Azure DevOps használja az ügynök és a folyamat funkcióihoz. Ezért még akkor is használhatatlanná válnak ezek az ügynökök, ha már konfiguráltuk az ügynököket, ha letiltjuk a névtelen hitelesítést. Az Azure DevOps-termékek már kiváló biztonsági megközelítéssel rendelkeznek. Az IIS-ben található TFS/Azure DevOps-kiszolgálóalkalmazás nem engedi át a hitelesítés nélküli kéréseket. Ez csak lehetővé teszi, hogy az IIS bejárati ajtaján keresztül lépjen az alkalmazáshoz, amely kényszeríti az OAuth-ot. Egy folyamatfuttatásban például a buildkiszolgáló buildenként létrehoz egy OAuth-jogkivonatot, amely a buildre terjed ki, és a build után lejár. Tehát annak ellenére, hogy a jogkivonat védett, ha kiszivárog, a build után használhatatlan - ellentétben egy azonosítóval. Az OAuth-jogkivonat a buildelési folyamat által futtatott kódhoz sem érhető el (a fejlesztők által beadott egységtesztek). Ha a Windows-szolgáltatás által futtatott Windows-identitásra támaszkodik, akkor a CI-ben egységteszteket futtató fejlesztők jogokat szerezhetnek ahhoz, hogy hozzáférjenek vagy töröljék azokat a kódokat, amelyekhez nincs engedélyük.