如何使用带PIM即时访问的服务主体运行Azure DevOps创建VM管道

• 配置PIM服务主体的即时访问角色

  • 登录Azure门户，进入Azure AD Privileged Identity Management，找到目标服务主体，为其分配对应Azure资源的角色（如「虚拟机参与者」「订阅参与者」，根据VM创建需求调整），并将角色设置为可激活（即时访问）
  • 配置角色激活参数：设置合理的激活时长（需覆盖管道完整运行时间，建议比预估运行时间多15-30分钟），按需开启/关闭审批流程（测试阶段可先关闭审批简化流程），确保角色范围覆盖VM创建目标的资源组或订阅

• 创建适配PIM的Azure DevOps服务连接

  • 在Azure DevOps项目的「项目设置」→「服务连接」中，新建「Azure资源管理器」类型的服务连接，选择**服务主体（手动）**方式
  • 填入PIM服务主体的客户端ID、客户端密钥、租户ID、目标订阅ID/名称，完成服务连接创建；若验证失败，先手动激活该服务主体的PIM角色后再重试验证

• 修改管道配置，添加PIM角色激活逻辑

  • 将管道中原有引用RBAC服务连接的任务（如Azure CLI、Azure PowerShell、ARM模板部署等），替换为新创建的PIM服务连接名称
  • 在管道开头添加PIM角色激活步骤：
    • 使用Azure CLI任务：执行az role eligibility schedule request create --scope <资源组/订阅ID> --role-definition-name <分配的PIM角色名称> --principal-id <服务主体ID> --request-type Activate --schedule-info start-date-time <当前时间> --schedule-info end-date-time <激活结束时间>
    • 或使用Azure PowerShell任务：执行New-AzRoleEligibilityScheduleRequest -Scope <资源组/订阅ID> -RoleDefinitionName <分配的PIM角色名称> -PrincipalId <服务主体ID> -RequestType Activate -ScheduleInfo_StartDateTime (Get-Date) -ScheduleInfo_EndDateTime (Get-Date).AddMinutes(45)
  • 确保激活步骤使用的身份为PIM服务主体本身（通过服务连接的「运行时身份」执行）

• 权限校验与排错

  • 测试阶段先手动激活PIM服务主体的角色，运行管道验证VM创建流程是否正常，排除激活逻辑的干扰
  • 若管道报403权限错误：检查PIM角色的范围是否覆盖目标资源、角色激活是否生效、服务主体是否被允许自我激活角色
  • 若服务连接验证失败：检查服务主体密钥是否过期、租户/订阅ID是否正确、激活状态是否有效

• 优化管道安全性

  • 在管道结束阶段添加PIM角色注销步骤：调用az role eligibility schedule request create --scope <资源组/订阅ID> --role-definition-name <角色名称> --principal-id <服务主体ID> --request-type Deactivate或对应的PowerShell命令，主动回收权限
  • 添加激活失败的处理逻辑：在激活步骤后加入条件判断，若激活失败则终止管道并输出明确错误信息

内容的提问来源于stack exchange，提问作者Coolhost