如何让Microsoft托管代理的Azure Pipeline安全更新带私有端点的数据库

以下是几种不降低安全性的方案，均基于私有网络内访问的原则，避免开启公共访问或Azure服务访问：

方案1：部署自托管代理到数据库所在虚拟网络（VNet） #

托管代理运行在Azure公共网络，无法直接访问私有端点保护的数据库，改用自托管代理部署到同VNet或对等VNet内，实现私有网络内的访问：

• 在目标VNet的子网中创建一台虚拟机（VM），确保该子网能访问数据库的私有端点（可通过VNet peering或直接同VNet配置）
• 在Azure DevOps组织中注册该VM为自托管代理，分配到专属代理池
• 修改Pipeline配置，指定使用这个自托管代理池执行数据库迁移任务（在YAML中添加pool: { name: '你的自托管代理池名称' }）
• 优势：完全基于私有网络通信，无公共入口暴露，符合安全要求
• 注意：需要负责自托管代理VM的运维（补丁更新、可用性保障等）

方案2：为Azure DevOps配置私有端点，让托管代理通过私有网络访问 #

Azure支持为Azure DevOps组织创建私有端点，允许托管代理通过私有网络路径访问你的数据库私有端点：

• 在数据库所在的VNet中创建Azure DevOps的私有端点，关联到你的Azure DevOps组织资源
• 配置VNet的私有DNS区域，确保托管代理能正确解析数据库的私有端点域名（需将数据库的私有DNS区域与VNet关联）
• 在数据库的防火墙规则中，允许来自Azure DevOps私有端点所在子网的流量
• 调整Pipeline中的迁移工具（如SqlPackage.exe、Azure CLI）配置，确保使用私有端点的连接字符串
• 优势：无需维护自托管VM，利用Azure托管服务，同时保持私有网络隔离

方案3：用Azure无服务器服务（Container Apps/Functions）作为迁移执行载体 #

将迁移逻辑封装到无服务器服务中，通过VNet集成访问数据库，再由Azure DevOps触发执行：

• 基于Container Apps：
  1. 将迁移脚本打包成Docker镜像，上传到配置了私有端点的Azure Container Registry（ACR）
  2. 创建Azure Container Apps，启用VNet集成并连接到数据库所在的VNet
  3. 在Pipeline中添加Azure CLI任务，触发Container Apps运行迁移容器
• 基于Azure Functions：
  1. 将迁移逻辑写成函数（如PowerShell或C#），配置函数的VNet集成，连接到目标VNet
  2. 为函数配置私有端点，限制仅允许Azure DevOps的服务主体访问
  3. 在Pipeline中添加HTTP触发任务，调用函数执行迁移
• 优势：无服务器架构，无需长期运行VM，按需执行，安全隔离

通用验证与安全注意事项 #

• 验证网络连通性：在执行迁移的环境（自托管代理VM、Container Apps等）中，用Test-NetConnection <数据库私有端点域名> -Port 1433（SQL Server为例）测试连通性
• 数据库防火墙配置：确保仅允许来自对应子网的流量访问数据库，避免宽泛的规则
• 敏感信息管理：用Azure DevOps变量组或Azure Key Vault存储数据库连接字符串、密码，禁止硬编码在脚本或Pipeline中
• RBAC权限控制：为Azure DevOps的服务主体分配最小必要的权限，比如仅允许触发迁移任务、访问数据库的只读/修改权限

内容的提问来源于stack exchange，提问作者Brother Franklyn