跨项目调用Azure Pipeline模板遇权限问题，如何按原仓库运行？

问题描述 #

我有一个Azure Pipeline模板，模板所在仓库已获取对应变量组（creds）和代理池（agents_）的访问权限。但从其他项目调用该模板时，触发以下资源授权错误（点击「Authorize Resources」无效果）：

There was a resource authorization issue: "The pipeline is not valid. Stage snapshot: Variable group creds could not be found. The variable group does not exist or has not been authorized for use. Could not find a pool with name agents_. The pool does not exist or has not been authorized for use. For authorization details, refer to https://aka.ms/yamlauthz."

错误信息截图

同一项目内的其他仓库调用该模板时，点击「Authorize Resources」即可正常运行，但同一组织内的其他项目或跨组织项目调用时均报错。当前模板调用方式如下：

resources:
  repositories:
    - repository: '<Repo Name>'
      name: <Project Name>/<Repo Name>
      type: git
      ref: <Branch Name>

stages:
  - template: <Pipeline file.yml>@<Repo Name>
    parameters:
      Action: Delete
      HostIPs: <IPs>
      SnapshotName: <Name>

想知道：是否有办法让该模板按照其原仓库的环境运行，而非调用方项目的环境？

解决方案 #

1. 通过服务连接绑定原项目权限 #

Azure Pipeline默认以调用方项目上下文执行模板，要强制使用原仓库所在项目的环境，需通过服务连接打通权限：

• 在原项目创建Azure DevOps类型的项目级服务连接，给该连接分配访问creds变量组和agents_代理池的权限。
• 在调用方项目中，添加这个服务连接作为外部资源，确保调用方Pipeline能通过它访问原项目的资源。
• 修改模板，显式指定通过该服务连接关联的原项目资源，避免使用调用方项目的上下文。

2. 用「环境」封装原项目资源 #

把原项目的变量组和代理池打包到一个环境中，让模板通过环境继承权限：

• 在原项目创建环境，将creds变量组和agents_代理池添加到该环境的资源列表里。
• 进入环境的「安全」设置，添加调用方项目的服务主体或用户组，授予他们访问该环境的权限。
• 修改模板的阶段/作业配置，指定environment: <原项目环境名称>，这样Pipeline会以环境关联的原项目权限执行。

3. 参数化资源名（折中方案） #

如果跨项目授权有困难，可把变量组和代理池名改成参数传入：

• 调整模板定义，新增variableGroupName和agentPoolName参数，默认值设为原项目的资源名。
• 在调用方项目中，要么提前授权对应资源，要么创建同名的变量组和代理池，调用模板时传入匹配的参数值。
• 示例模板修改：

parameters:
  variableGroupName: 'creds'
  agentPoolName: 'agents_'
  Action: ''
  HostIPs: ''
  SnapshotName: ''

variables:
  - group: ${{ parameters.variableGroupName }}

jobs:
  - job: ExecuteAction
    pool:
      name: ${{ parameters.agentPoolName }}
    steps:
      # 原有作业步骤...

4. 跨组织调用的额外配置 #

如果是跨组织调用，还要做这些：

• 在原组织创建组织级服务连接，允许外部组织访问指定项目的资源。
• 在调用方组织的项目中添加该跨组织服务连接，确保Pipeline使用的服务主体拥有足够的访问权限。

内容的提问来源于stack exchange，提问作者Shereen Barouqa