Azure DevOps中SqlAzureDacpacDeployment长任务令牌过期登录失败求助

问题根源：使用servicePrincipal认证时，任务初始化阶段获取的Azure AD访问令牌默认有效期为1小时，当部署任务运行超过1小时后，令牌过期导致登录失败。以下是几种可行的解决方法：

方法1：拆分长任务为多个短任务 #

将大型Dacpac部署拆分为多个独立的部署阶段，每个阶段使用单独的SqlAzureDacpacDeployment@1任务。每个任务都会重新从Azure AD获取新鲜的访问令牌，避免因单任务超时导致令牌过期。

示例流水线配置：

# 第一阶段部署：基础架构对象
- task: SqlAzureDacpacDeployment@1
  inputs:
    azureSubscription: 'subscription id'
    AuthenticationType: 'servicePrincipal'
    ServerName: 'server name value'
    DatabaseName: 'db name value'
    deployType: 'DacpacTask'
    DeploymentAction: 'Publish'
    DacpacFile: 'base_schema.dacpac'
    AdditionalArguments: '/p:BlockOnPossibleDataLoss=false /p:VerifyDeployment=false /p:ignorePermissions=true'

# 第二阶段部署：业务逻辑对象
- task: SqlAzureDacpacDeployment@1
  inputs:
    azureSubscription: 'subscription id'
    AuthenticationType: 'servicePrincipal'
    ServerName: 'server name value'
    DatabaseName: 'db name value'
    deployType: 'DacpacTask'
    DeploymentAction: 'Publish'
    DacpacFile: 'business_logic.dacpac'
    AdditionalArguments: '/p:BlockOnPossibleDataLoss=false /p:VerifyDeployment=false /p:ignorePermissions=true'

方法2：使用Azure CLI手动获取新鲜令牌 #

在部署任务前添加Azure CLI任务，实时获取SQL数据库的访问令牌，然后将令牌传递给Dacpac部署任务。这种方式确保每次部署使用的都是刚生成的令牌，有效期足够覆盖部署时间。

示例流水线配置：

# 获取新鲜的SQL访问令牌并保存为流水线变量
- task: AzureCLI@2
  inputs:
    azureSubscription: 'subscription id'
    scriptType: 'bash'
    inlineScript: |
      # 获取针对Azure SQL的访问令牌
      sqlToken=$(az account get-access-token --resource https://database.windows.net/ --query accessToken -o tsv)
      # 将令牌设置为流水线变量
      echo "##vso[task.setvariable variable=sqlToken]$sqlToken"

# 使用获取的令牌执行Dacpac部署
- task: SqlAzureDacpacDeployment@1
  inputs:
    AuthenticationType: 'sqlAuthentication'
    ServerName: 'server name value'
    DatabaseName: 'db name value'
    deployType: 'DacpacTask'
    DeploymentAction: 'Publish'
    DacpacFile: 'dacpac_file_name.dacpac'
    AdditionalArguments: '/p:BlockOnPossibleDataLoss=false /p:VerifyDeployment=false /p:ignorePermissions=true /AccessToken:$(sqlToken)'

方法3：延长服务主体令牌有效期（不推荐） #

可以通过Azure AD配置延长服务主体的令牌有效期，但此操作会降低账户安全性，仅建议在非生产环境临时使用。需要拥有Azure AD全局管理员权限，在Azure门户中为目标服务主体配置自定义令牌生命周期策略，将有效期延长至部署所需时长。

推荐方案 #

优先选择方法1或方法2：方法1适合可拆分的部署场景，实现简单且无安全风险；方法2更灵活，适用于无法拆分的长时部署任务，确保令牌始终有效。

内容的提问来源于stack exchange，提问作者StanS