VSO 构建代理中未经授权的新 AzureResourceGroup答案

【问题标题】：New-AzureResourceGroup unauthorized in VSO build agentVSO 构建代理中未经授权的新 AzureResourceGroup
【发布时间】：2015-09-02 09:23:34
【问题描述】：

我在 Azure 中的 VM 上设置了一个构建代理，它链接到我们的 Visual Studio Online。

然后，我有一个 Azure Powershell 构建步骤，它运行一个尝试执行 New-AzureResourceGroup 的脚本。

这会导致以下结果：

New-AzureResourceGroup：未经授权

113 ##[error]At C:\BuildAgents\agent\_work\[...]\Deploy-AzureResourceGroup.ps1:47 char:1
114 ##[error]+ New-AzureResourceGroup -Name $ResourceGroupName -Location $ResourceGroupLocation ...
115 ##[error]+     ~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~
116 ##[error]+ CategoryInfo          : CloseError: (:) [New-AzureResourceGroup], CloudException
117 ##[error]+ FullyQualifiedErrorId : Microsoft.Azure.Commands.Resources.NewAzureResourceGroupCommand

我可以毫无问题地在本地运行这些脚本。

我已尝试在脚本中导入发布设置文件，但似乎不允许 New-AzureResourceGroup 以这种方式进行身份验证。

我在本地用户帐户（不是网络服务）下将构建代理作为服务运行。

有谁知道如何让构建代理执行 New-AzureResourceGroup？

我希望能够进行完整的持续部署，包括设置和管理 Azure 中所需的一切，包括资源组。

更新

根据下面的文章：

“如果使用此方法[发布设置文件]进行连接，则只能使用 Azure 服务管理（或 ASM 模式）命令。”

https://azure.microsoft.com/en-us/documentation/articles/xplat-cli-connect/

我假设这也适用于 Azure powershell。

那么，如果不使用基于帐户的身份验证，真的没有办法在 azure 中管理资源吗？

更新

感谢 @bmoore-msft 提供缺失的部分。我将添加另一个我需要找到的链接的屏幕截图，以将构建设置为在实际帐户下运行。

【问题讨论】：

创建 Azure PowerShell 脚本时，是否尝试在 PowerShell 脚本中设置 Azure 订阅？
是的。脚本很好，包括指定订阅。唯一缺少的是如何设置构建代理作为帐户而不是使用证书进行身份验证。

标签： azure-devops azure-resource-manager azure-powershell azure-pipelines

【解决方案1】：

在 Azure 资源管理器中，您必须使用 Azure Active Directory 身份验证，无需证书。所以这适用于 cli、PowerShell、REST API 等。

在 VSO 中有一个 Azure PowerShell 的构建任务。当您使用该任务时，您指定一个“连接”或订阅来执行该任务......因此您将凭据保存在 VSO 中。您可以使用常规的 PowerShell 任务，但您必须自己保护凭据。

最后，当您在 VSO 中设置帐户连接时，它必须是 orgID，不支持 MSA（PowerShell 限制）。服务主体支持即将推出。

【讨论】：

谢谢！您是否知道为什么将其设置为在 orgID 下运行时，“实时”构建输出会中断？现在我突然需要等待构建完成才能看到发生了什么。
只是为了确保我理解 - 当您运行 Azure PowerShell 构建任务时，您在构建输出窗口中看不到脚本的输出？是这个问题吗？
是的。在 VSO 构建页面中，单击“Queue new build”后，我通常会在构建运行时看到脚本输出。用账号设置好构建步骤后，输出为空，需要下载日志看看发生了什么。
好的，我注意到浏览器中的那个窗口有一些奇怪的“行为”，有时它会刷新，有时不会——但如果你一直看到它，就会出现 lmk。
为了让人们不会错过它，您在 VSO 中有两个 Powershell 步骤可供您使用，一个在实用程序下，第二个在部署下。确保添加第二个，因为第一个不会为您提供使用订阅的选项。

【解决方案2】：

我在使用带有 VSO 的 Azure 资源管理器时也遇到了很多麻烦。通过创建一个对 Azure 订阅具有足够权限的服务主体帐户，我终于找到了一个可行的解决方案，以便从 Visual Studio Online 进行部署。

我使用 David Ebbo 的这篇博文创建了服务主体帐户：http://blog.davidebbo.com/2014/12/azure-service-principal.html

在 VSO 中，我删除了“Azure PowerShell”步骤并将其替换为“PowerShell”步骤。在 PowerShell 脚本中，我首先登录服务主体帐户，然后使用 Azure 资源管理器部署我的应用程序。

【讨论】：