能否在Azure自托管代理作业失败时自动禁用该代理？

针对你遇到的USB调试授权丢失导致代理反复领取失败作业的问题，可以通过以下几种方式实现“失败后自动禁用代理”的需求：

方法一：在Pipeline中添加失败触发的代理禁用任务 #

在你的Appium测试Pipeline中，新增一个仅在作业失败时执行的PowerShell任务，通过Azure DevOps REST API禁用当前运行的代理：

• 任务配置：将PowerShell任务的运行条件设置为failed()，确保只有当测试作业失败时才触发。
• 核心脚本示例：

  # 配置参数
  $orgUrl = "https://dev.azure.com/你的组织名"
  $projectName = "你的项目名"
  $poolId = "代理池ID"
  $agentId = $env:AGENT_ID # 自动获取当前运行的代理ID
  $patToken = "你的PAT令牌（需有代理池管理权限）"
  
  # 构建API请求头
  $headers = @{
      "Authorization" = "Basic " + [Convert]::ToBase64String([Text.Encoding]::ASCII.GetBytes(":$patToken"))
      "Content-Type" = "application/json"
  }
  
  # 调用API禁用代理
  $body = '{"enabled": false}'
  Invoke-RestMethod -Uri "$orgUrl/$projectName/_apis/distributedtask/pools/$poolId/agents/$agentId?api-version=7.1-preview.1" -Method PATCH -Headers $headers -Body $body
  

• 权限要求：确保Pipeline使用的服务主体或PAT令牌拥有代理池管理员权限，否则无法修改代理状态。

方法二：代理本地监控脚本 #

在代理所在的PC上运行一个持续监控脚本，检测作业日志中的特定失败关键词（如USB调试授权丢失相关错误），触发代理禁用操作：

• 日志监控：默认情况下，Azure代理的作业日志存储在C:\agent\_work\_logs（Windows环境），脚本可实时读取最新日志文件，匹配关键词（例如USB debugging not authorized、Appium could not connect to device）。
• 禁用命令：当匹配到目标错误时，执行以下命令禁用代理（需在代理安装目录下运行）：

  .\config.cmd disable
  

  或使用Azure CLI命令（需提前安装并配置Azure CLI）：

  az pipelines agent disable --agent-id <代理ID> --pool-id <代理池ID> --org <组织URL>
  

• 脚本部署：将脚本设置为开机自启动（比如通过Windows任务计划），持续运行监控。

方法三：Azure Monitor警报+自动化Runbook #

通过Azure Monitor监控Pipeline失败事件，达到阈值后触发自动化Runbook禁用代理：

1. 创建Azure Monitor警报规则：针对Azure DevOps Pipeline的失败事件，设置触发条件为连续失败N次（比如3次）。
2. 关联Azure Automation Runbook：在Runbook中编写PowerShell脚本，调用Azure DevOps REST API禁用对应代理（脚本逻辑同方法一）。
3. 权限配置：确保Runbook的服务主体拥有代理池管理权限和DevOps API访问权限。

注意事项 #

• 代理被禁用后，需手动登录Azure DevOps的代理池管理页面，找到对应代理并重新启用，才能恢复作业领取能力。
• 所有操作都需要确保执行账号拥有足够的代理池管理权限，否则无法修改代理状态。
• 建议在脚本中添加日志记录，方便后续追溯代理被禁用的原因和时间点。

内容的提问来源于stack exchange，提问作者Kyle Leighton