带有 Azure 应用程序网关和虚拟机的 Azure DevOps 发布管道答案

【问题标题】：Azure DevOps release pipeline with Azure Application Gateway and Virtual Machines带有 Azure 应用程序网关和虚拟机的 Azure DevOps 发布管道
【发布时间】：2019-05-05 20:16:02
【问题描述】：

我的目标是从 Azure DevOps 发布管道创建 Azure 资源。创建的资源是虚拟机和应用程序网关（+ 所有必要的 vnet 等）。资源创建成功，但管道无法通过应用程序网关工作。目前，管道具有“Azure 文件复制”任务，用于将一些脚本复制到虚拟机。此设置在没有应用程序网关的情况下工作，但我无法让它与应用程序网关一起工作。

我从 Azure DevOps 收到的错误消息是：“无法获取 ResourceGroup 中所有资源的 FQDN”

我已经创建了一张到 MS 的票，但他们还不能解决这个问题（“按预期工作”），现在正在等待 Azure DevOps 支持参与，但由于它有点慢，我决定发布一个问题关于这个，因为我认为以前可能有人碰到过这个。

有人知道是否支持此设置或有任何解决方法吗？主要需求是在虚拟机中复制和执行脚本。

【问题讨论】：

标签： azure azure-devops

【解决方案1】：

与 Azure 网络团队和 Azure DevOps 团队进行了交谈，目前没有办法解决这个问题。虚拟机必须具有公共 IP 地址才能使用“Azure 文件复制”任务。

所以我最终向 VM 添加了具有公共 IP 地址的额外 NIC，并使用 NSG 仅允许来自 Azure DevOps 管道的流量。

编辑：创建了一个反馈项，如果您也需要此功能，请投票：https://feedback.azure.com/forums/217313-networking/suggestions/36482038-add-application-gateway-support-for-azure-devops-t

【讨论】：

令人讨厌的是，这对我们一直有效，直到 2018 年 10 月 24 日之后的某个时间（我们的夜间管道最后一次成功地将文件复制到我们的虚拟机）。这似乎不是对任务的更改，因此它必须与 Azure DevOps 访问有关（似乎很可能）。你能分享一下对你有用的 NSG 设置吗？
我为每个虚拟机附加了额外的“DevOps”NIC + NSG。该 NSG 允许通过端口 5986 的流量。因此 Azure DevOps 直接访问该 VM，流量不会通过应用程序网关。这是一个平衡的解决方法，无需牺牲太多安全性，同时仍然有可能拥有 DevOps。
谢谢。不幸的是，我们已经有了这条规则，但问题仍然存在
如果您的虚拟机位于应用程序网关之后并且没有公共 IP 地址，则规则本身无济于事。