如何通过Azure Pipelines MS托管代理安全访问本地数据库（EF Core迁移）

核心原则 #

既然MS托管代理只能通过公网通信，核心要做到加密传输+最小权限+避免直接暴露数据库，以下是几种可行方案：

方案1：反向代理中转 #

• 在公网部署反向代理（如Nginx、Azure API Management），作为本地数据库的入口
• 代理层强制启用TLS 1.2+加密，确保传输数据不被窃听
• 从Azure DevOps文档获取MS托管代理的公网IP段，在代理和本地防火墙仅放行该IP段的访问
• 代理层添加身份验证（如API密钥、Azure AD OAuth），只有合法的Pipeline请求能通过

方案2：Azure Relay混合连接 #

• 用Azure Relay的混合连接功能，在本地部署Relay连接器，将数据库端口映射到Azure Relay服务
• MS托管代理通过Azure Relay的公网端点访问本地数据库，流量全程加密
• 配置Azure Relay的访问控制，仅允许Azure DevOps的服务主体或特定Pipeline身份访问
• 本地防火墙只需放行Relay连接器的出站流量，无需开放数据库端口到公网

方案3：改用自托管代理 #

• 放弃MS托管代理，部署自托管代理到本地网络内
• 自托管代理可直接访问本地数据库，无需走公网
• 在Azure DevOps Pipeline中指定使用该自托管代理执行EF Core迁移步骤
• 注意给自托管代理分配最小权限，定期更新代理版本

方案4：快照同步迁移 #

• 将本地数据库快照同步到Azure托管数据库（如Azure SQL）
• MS托管代理在Azure内部执行EF Core迁移到快照库
• 验证迁移无误后，再将更新后的结构同步回本地数据库
• 同步过程用加密传输，且仅在迁移阶段执行，减少暴露时间

必做安全措施 #

• 给数据库账号设置最小权限：仅授予EF Core迁移所需的权限（如创建/修改表、索引），禁止全库读写或管理员权限
• 启用数据库审计日志，记录所有来自Azure DevOps的访问请求，方便事后排查
• 定期轮换身份凭据（API密钥、数据库密码、服务主体密钥）
• 用Azure DevOps的加密变量组或安全文件存储连接字符串等敏感信息，禁止明文出现在Pipeline配置中

内容的提问来源于stack exchange，提问作者arthur felipe