如何让Azure Pipeline阶段或作业不可取消？及优化方案问询

问题1：能否确保DeployAndTest阶段进入运行后无法被手动取消，且PR构建不受分支新推送影响？ #

关于禁止手动取消阶段 #

Azure Pipeline没有直接的阶段级配置阻止手动取消，但可以通过以下方式间接保障清理逻辑执行：

• 权限控制：在流水线的安全设置中，移除相关用户/组的「取消构建」权限，但这是全局或流水线级别的管控，无法仅针对单个阶段生效。
• 取消请求检测：在DestroyInfrastructureUsingPulumi任务中添加逻辑，检测$(system.CancelRequested)变量。如果检测到取消请求，强制完成基础设施销毁后再允许流水线终止，避免资源残留。不过这种方式无法完全禁止取消操作，只能保证取消时的清理动作执行。

关于PR构建不受新推送影响 #

可以通过以下配置实现：

• 在PR触发规则中设置batch: false，确保每次分支新推送都会触发新流水线，但结合你已设置的lockBehavior: sequential，新流水线会等待当前DeployAndTest阶段完全执行完毕（包括销毁）后才会启动。
• 更精准的方式是使用资源锁（Mutex Lock），针对共享资源加锁，确保同一时间只有一个流水线实例能操作该资源，彻底避免新推送打断正在运行的阶段。

问题2：是否有更优方案实现此类流水线运行逻辑？ #

推荐以下优化方案：

1. 使用资源锁替代Stage级lockBehavior #

通过资源锁精准管控共享资源的访问，比Stage的lockBehavior更灵活，支持跨流水线控制：

resources:
  locks:
  - name: SharedInfraMutexLock
    type: mutex
    resource: shared-cloud-infra # 自定义共享资源标识

所有需要操作该共享资源的流水线都会自动排队，只有拿到锁的实例才能执行DeployAndTest阶段。

2. 整合部署、测试、销毁为带错误处理的执行链 #

将三个Job合并为一个Job内的多个步骤，或通过dependsOn严格绑定顺序，同时添加错误处理逻辑确保销毁步骤必执行：

jobs:
- job: DeployTestDestroy
  steps:
  - script: pulumi up -y
    displayName: Deploy Infrastructure
  - script: run-integration-tests.sh
    displayName: Run Integration Tests
    continueOnError: true # 即使测试失败，仍执行后续销毁步骤
  - script: pulumi destroy -y
    displayName: Destroy Infrastructure
    condition: always() # 无论前面步骤成功/失败/取消，都执行该步骤

3. 用环境（Environments）管理共享资源 #

将共享资源关联到Azure Pipeline环境，通过环境的「运行限制」设置同一时间仅允许一个运行实例，同时可添加审批流程进一步管控：

• 在Azure DevOps中创建环境，关联你的共享云资源
• 在流水线的DeployAndTest阶段中引用该环境：

  stage: DeployAndTest
  jobs:
  - deployment: DeployTestDestroy
    environment: SharedInfraEnv
    strategy:
      runOnce:
        deploy:
          steps:
          - script: pulumi up -y
          - script: run-tests.sh
          - script: pulumi destroy -y
            condition: always()
  

4. 增强销毁步骤的幂等性 #

在pulumi destroy命令中添加幂等处理，确保即使重复执行也不会报错，避免因前序步骤失败导致资源残留。

内容的提问来源于stack exchange，提问作者dushyantp