Azure DevOps管道PowerShell并行推送镜像的服务连接认证问题

核心问题在于：PowerShell的ForEach-Object -Parallel会话无法直接继承Azure DevOps管道中服务连接的认证上下文，必须手动导出各服务连接的凭证，再传递到并行会话中使用。以下是针对两类注册表的具体实现方案：

前置准备：导出服务连接凭证到管道变量 #

在PowerShell并行任务之前，添加前置任务分别获取两类服务连接的认证信息，并存储为管道秘密变量：

针对Azure容器注册表（ARM SPN服务连接） #

添加一个Azure PowerShell任务（使用目标ARM服务连接执行），运行以下脚本获取SPN凭证：

$context = Get-AzContext
$clientId = $context.Account.Id
$clientSecret = (Get-AzADServicePrincipal -ApplicationId $clientId).PasswordCredentials.SecretText

# 将凭证设置为秘密管道变量，避免日志泄露
Write-Host "##vso[task.setvariable variable=ACR_ClientId;issecret=true]$clientId"
Write-Host "##vso[task.setvariable variable=ACR_ClientSecret;issecret=true]$clientSecret"
Write-Host "##vso[task.setvariable variable=ACR_Registry;issecret=false]myacr.azurecr.io"

针对GCP容器注册表（Docker基础认证服务连接） #

直接在Azure DevOps管道的变量面板中，添加两个秘密变量GCP_Username和GCP_Password，值对应Docker服务连接的用户名与密码；或者通过PowerShell任务读取服务连接凭证（需账号有读取权限）：

# 示例：通过Azure DevOps API读取服务连接凭证（需提前配置PAT令牌）
$patToken = $env:SYSTEM_ACCESSTOKEN
$orgUrl = $env:SYSTEM_TEAMFOUNDATIONCOLLECTIONURI
$projectName = $env:SYSTEM_TEAMPROJECT

$headers = @{Authorization = "Bearer $patToken"}
$serviceConnUrl = "$orgUrl$projectName/_apis/serviceendpoint/endpoints?api-version=7.1-preview.4"
$serviceConn = Invoke-RestMethod -Uri $serviceConnUrl -Headers $headers | Where-Object { $_.name -eq "GCP-Docker-Conn" }

$gcpUsername = $serviceConn.authorization.parameters.username
$gcpPassword = $serviceConn.authorization.parameters.password

Write-Host "##vso[task.setvariable variable=GCP_Username;issecret=true]$gcpUsername"
Write-Host "##vso[task.setvariable variable=GCP_Password;issecret=true]$gcpPassword"
Write-Host "##vso[task.setvariable variable=GCP_Registry;issecret=false]gcr.io/my-gcp-project"

PowerShell并行推送脚本实现 #

创建一个PowerShell任务，启用并行执行，脚本示例如下：

# 定义待推送的镜像列表，包含镜像名、注册表类型、认证信息
$pushTasks = @(
    @{
        Image = "my-app-image:v1"
        Registry = $env:ACR_Registry
        AuthType = "ACR"
        Username = $env:ACR_ClientId
        Password = $env:ACR_ClientSecret
    },
    @{
        Image = "my-app-image:v1"
        Registry = $env:GCP_Registry
        AuthType = "GCP"
        Username = $env:GCP_Username
        Password = $env:GCP_Password
    }
)

# 并行执行推送任务
$pushTasks | ForEach-Object -Parallel {
    $task = $_
    try {
        # 登录目标注册表
        docker login $task.Registry -u $task.Username -p $task.Password
        
        # 推送镜像
        docker push "$($task.Registry)/$($task.Image)"
        Write-Host "✅ 推送成功：$($task.Registry)/$($task.Image)"
    }
    catch {
        Write-Error "❌ 推送失败：$($task.Registry)/$($task.Image)，错误信息：$_"
        exit 1
    }
    finally {
        # 登出注册表，清理会话
        docker logout $task.Registry
    }
} -ThrottleLimit 2 # 根据代理资源调整并行数量

关键注意事项 #

• 变量安全：所有凭证变量必须标记为Azure DevOps的秘密变量，禁止在日志中明文输出。
• 并行控制：通过-ThrottleLimit限制并行任务数量，避免代理服务器CPU/网络资源耗尽。
• 错误隔离：每个并行任务独立处理异常，单个推送失败不会终止整个并行任务（如需终止可移除catch块的exit逻辑）。

内容的提问来源于stack exchange，提问作者Mudit Balooja