如何通过服务连接在Azure DevOps流水线中连接更新Azure PostgreSQL弹性服务器

可行性说明 #

完全可以实现。Azure Database for PostgreSQL Flexible Server支持Azure Active Directory（Azure AD）认证，而Azure DevOps的Azure Resource Manager类型服务连接基于服务主体身份，可通过Azure AD认证直接访问数据库，无需用户名+密码。

实现步骤与代码示例 #

前提准备 #

1. 在Azure Portal中，将服务连接对应的服务主体设置为PostgreSQL Flexible Server的Azure AD管理员，或在目标数据库中为该服务主体授予登录权限及必要的数据库角色（如db_owner）。
2. 确保DevOps代理环境已安装psql客户端和Azure CLI（用于获取访问令牌）。

流水线任务示例（Azure CLI脚本） #

添加Azure CLI任务，选择对应的Azure Resource Manager服务连接，执行以下脚本：

# 获取PostgreSQL Azure AD认证令牌
TOKEN=$(az account get-access-token --resource-type oss-rdbms --query accessToken -o tsv)

# 连接数据库并执行SQL更新脚本
psql "host=<你的服务器名>.postgres.database.azure.com port=5432 dbname=<目标数据库名> user=<服务主体客户端ID>@<Azure AD租户ID> sslmode=require" -c "SET azure.account.token='$TOKEN';" -f ./path/to/your-update-script.sql

流水线任务示例（PowerShell脚本） #

若使用PowerShell任务，可执行以下代码：

# 获取Azure AD访问令牌
$accessToken = (Get-AzAccessToken -ResourceUrl https://ossrdbms-aad.database.windows.net).Token

# 构造连接参数与SQL执行命令
$connectionParams = "Host=<你的服务器名>.postgres.database.azure.com;Port=5432;Database=<目标数据库名>;Username=<服务主体客户端ID>@<Azure AD租户ID>;Ssl Mode=Require;"
$sqlCommand = "SET azure.account.token='$accessToken';`r`n$(Get-Content ./path/to/your-update-script.sql -Raw)"

# 执行SQL更新脚本
& psql $connectionParams -c $sqlCommand

更优替代方案 #

1. 使用Azure Database Deployment内置任务
   直接用Azure DevOps内置的Azure Database Deployment任务，选择Azure Resource Manager服务连接后，在认证方式中勾选Azure AD Authentication（需确保任务版本支持），无需手动编写令牌获取逻辑，直接指定SQL脚本路径即可完成部署。

2. 托管身份认证
   若使用Azure托管代理，可为代理启用系统分配托管身份，将该托管身份添加为PostgreSQL的Azure AD管理员或数据库角色，无需依赖服务连接，直接通过托管身份自动完成认证，进一步简化权限管理流程。

内容的提问来源于stack exchange，提问作者Code Vader