Azure DevOps发布流水线突发失败：部署Linked Service遇403权限问题

报错日志 #

2024-07-09T23:11:19.7718791Z 完成从模板获取工件
2024-07-09T23:11:19.7719155Z 开始从模板部署工件。
2024-07-09T23:11:19.7722609Z 部署类型为linkedService的dev_keyVault_linkedService
2024-07-09T23:11:19.9503411Z 工件dev_keyVault_linkedService：ArtifactDeploymentTask状态：403；状态信息：Forbidden
2024-07-09T23:11:19.9506451Z 失败
2024-07-09T23:11:19.9507649Z 部署操作失败
2024-07-09T23:11:19.9509658Z 执行期间发生错误：Error: Linked service部署失败"Failed"
2024-07-09T23:11:19.9543086Z ##[error]遇到异常：Error: Linked service部署失败"Failed"
2024-07-09T23:11:19.9553608Z 工件dev_keyVault_linkedService：部署工件失败：{"code":"ClientIpAddressNotAuthorized","message":"Client Ip address : *.*.*.***"}
2024-07-09T23:11:19.9652636Z ##[section]完成：工作区uat01-vm04-d200的Synpase部署任务

问题原因 #

核心错误码ClientIpAddressNotAuthorized明确表明：执行部署任务的客户端IP（日志中显示的*.*.*.***）未被目标Key Vault或Synapse工作区的防火墙/IP访问控制策略允许，导致请求被拒绝（403 Forbidden）。

解决办法 #

• 确认部署IP：锁定日志中给出的*.*.*.***，该IP是执行流水线的代理公网IP（自托管代理对应代理机器公网IP；Azure托管代理对应微软托管服务的动态IP）。
• 配置Key Vault IP白名单：
  1. 登录Azure门户，找到dev_keyVault_linkedService对应的Key Vault资源。
  2. 进入网络 -> 防火墙和虚拟网络页面，选择“选定的网络”。
  3. 点击“添加IP地址”，填入部署代理IP，保存配置。
• 配置Synapse工作区IP白名单：
  1. 进入目标Synapse工作区（uat01-vm04-d200）的网络设置页面。
  2. 在防火墙规则中添加部署代理IP到允许范围，保存设置。
• Azure托管代理适配方案：
  若使用Azure DevOps托管代理，IP动态变化，可选择两种方式：
  1. 切换为自托管代理，配置固定公网IP后添加到白名单。
  2. 下载Azure官方发布的托管服务IP范围列表，将对应区域的IP段批量添加到白名单，注意定期更新IP范围。
• 验证修复：重新触发发布流水线，检查链接服务部署是否成功。

内容的提问来源于stack exchange，提问作者Su1tan