从Azure DevOps部署代码至其他租户VM的方案可行性及疑问

你的方案完全可行，核心逻辑符合Azure DevOps自托管代理的使用规范：

• 在对方租户的VM上部署自托管代理，可将该VM纳入你方Azure DevOps的执行节点池，流水线能直接指定此代理完成代码部署任务
• 提供包含注册命令和PAT令牌的脚本，由对方完成代理注册，这是Azure DevOps自托管代理的标准注册流程，只要对方VM能连通你方Azure DevOps组织的网络（公网或专用链路均可），就能完成注册并正常运行

你的判断正确，不需要额外使用服务主体：

• 服务主体主要用于Azure云资源的管理操作（如创建VM、配置存储账户等资源层面的部署），而你仅需将代码部署到对方已存在的VM上
• 自托管代理运行在对方VM本地，默认使用代理运行账户的本地权限完成代码复制、解压、启动等操作，只要该账户拥有目标部署目录的读写权限，即可完成部署，无需跨租户的Azure资源访问权限，因此不需要服务主体

额外注意事项 #

• PAT令牌需配置最小权限，仅授予Agent Pools (Read & manage)权限即可，降低权限风险
• 需和对方确认VM网络连通性，确保能访问你方Azure DevOps组织的端点（如https://dev.azure.com/[你的组织名]）
• 确认代理运行账户拥有部署目标目录的读写权限，避免部署时出现权限不足的错误

内容的提问来源于stack exchange，提问作者Michael Brown