如何在Azure DevOps Server中针对启用Windows身份验证的IIS运行Playwright .NET测试

可行策略 #

1. 授权构建服务账户访问 #

• 将Azure DevOps Server的构建服务账户（通常格式为DOMAIN\AzureDevOpsBuildService）添加到目标IIS网站的Windows身份验证允许列表，同时确保该账户拥有网站访问的必要权限，比如IIS_IUSRS组权限、网站目录读取权限等。
• 管道运行时，Playwright会自动使用构建服务账户的身份完成Windows身份验证，无需额外配置。这是最直接的方案，前提是构建服务账户的权限可合规授予。

2. 配置专用测试账户的HTTP凭据 #

• 创建一个仅用于自动化测试的域账户，赋予其目标IIS网站的访问权限。
• 在Azure DevOps Server的库中创建机密变量组，存储该测试账户的用户名和密码。
• 在Playwright测试代码中，通过上下文配置注入HTTP凭据：

  var context = await browser.NewContextAsync(new BrowserNewContextOptions
  {
      HttpCredentials = new HttpCredentials
      {
          Username = Environment.GetEnvironmentVariable("TEST_USERNAME"),
          Password = Environment.GetEnvironmentVariable("TEST_PASSWORD")
      }
  });
  

• 在YAML构建管道中引用机密变量组，将用户名和密码作为环境变量传递给测试任务，机密变量默认会被日志屏蔽，不会泄露。

3. 以测试账户身份启动测试进程 #

• 如果HTTP凭据方式不生效（部分Windows身份验证场景下浏览器会优先使用当前进程账户），可在管道任务中用Windows的runas命令，以测试账户身份启动Playwright测试：

  runas /user:DOMAIN\TEST_ACCOUNT "dotnet test YourTestProject.csproj --settings Playwright.runsettings"
  

• 配合Azure DevOps机密变量传递密码，确保密码不会在日志中暴露。

4. 配置Kerberos约束委派（跨机器场景） #

• 若构建服务器与IIS服务器为不同机器且使用Kerberos身份验证，需配置约束委派：
  • 在Active Directory中，将构建服务账户设置为允许委派到IIS服务器的HTTP服务主体名称（SPN）。
  • 确保IIS网站的应用程序池账户已正确配置SPN，避免Kerberos验证失败回退到NTLM。
• 此方案需要域管理员权限，适用于复杂多服务器环境。

关键注意事项 #

• 所有测试账户需遵循最小权限原则，仅授予测试环境网站的必要访问权限，避免过度授权。
• Azure DevOps Server 2019的经典部署管道需在管道设置中添加机密变量，保障凭据安全。
• 测试前可在构建服务器手动运行Playwright测试，验证账户权限配置是否正确，排除管道外的问题。

内容的提问来源于stack exchange，提问作者Michael Kolakowski