如何在C# Azure Function中通过ARM模板自动创建Azure DevOps组织？

由于无法通过DevOps Rest API创建组织，且组织相关SDK仍处于预览阶段无法正常使用，我们尝试通过ARM模板以编程方式创建Azure DevOps组织。在Azure门户中可使用以下ARM模板创建新组织：

{
  "$schema": "https://schema.management.azure.com/schemas/2015-01-01/Microsoft.Resources.json#",
  "contentVersion": "1.0.0.0",
  "parameters": {
    "organizationName": {
      "type": "string",
      "defaultValue": ""
    },
    "organizationIdentifier": {
      "type": "string",
      "defaultValue": ""
    },
    "administrator": {
      "type": "string",
      "defaultValue": ""
    }
  },
  "resources": [
    {
      "name": "[parameters('organizationIdentifier')]",
      "type": "microsoft.visualstudio/account",
      "location": "West Europe",
      "description": "[parameters('organizationName')]",
      "apiVersion": "2014-02-26",
      "properties": {
        "operationType": "Create",
        "accountName": "[parameters('organizationIdentifier')]",
        "ownerUpn": "[parameters('administrator')]"
      }
    }
  ]
}

但在C# Azure Function中实现时遇到阻碍：SDK要求指定资源组，而这在创建Azure DevOps组织的场景下并不合理。想知道是否有可行方案，或者目前根本无法自动创建Azure DevOps组织？

可行方案：直接调用ARM REST API #

Azure DevOps组织（对应ARM资源类型microsoft.visualstudio/account）是订阅级资源，不需要关联资源组。你可以绕过Azure SDK，直接在Azure Function中发送HTTP请求调用ARM的资源创建接口，具体实现如下：

1. 权限配置 #

确保Azure Function使用的身份（托管标识或服务主体）拥有订阅级的Microsoft.VisualStudio/accounts/write权限。

2. C#代码示例 #

使用HttpClient直接调用ARM API，结合Azure服务身份验证获取访问令牌：

using System;
using System.Net.Http;
using System.Net.Http.Headers;
using System.Threading.Tasks;
using Microsoft.Azure.Services.AppAuthentication;

public static async Task Run()
{
    // 替换为你的实际参数
    string subscriptionId = "your-subscription-id";
    string orgIdentifier = "unique-org-name";
    string orgDisplayName = "Your Organization Name";
    string adminUpn = "admin@example.com";

    // 获取ARM API的访问令牌
    var tokenProvider = new AzureServiceTokenProvider();
    string accessToken = await tokenProvider.GetAccessTokenAsync("https://management.azure.com/");

    using var httpClient = new HttpClient();
    httpClient.DefaultRequestHeaders.Authorization = new AuthenticationHeaderValue("Bearer", accessToken);

    // 构造请求URI（无需指定资源组）
    string requestUri = $"https://management.azure.com/subscriptions/{subscriptionId}/providers/microsoft.visualstudio/accounts/{orgIdentifier}?api-version=2014-02-26";

    // 构造请求体
    var payload = new
    {
        location = "West Europe",
        description = orgDisplayName,
        properties = new
        {
            operationType = "Create",
            accountName = orgIdentifier,
            ownerUpn = adminUpn
        }
    };

    // 发送PUT请求创建组织
    HttpResponseMessage response = await httpClient.PutAsJsonAsync(requestUri, payload);
    response.EnsureSuccessStatusCode();
}

关键注意事项 #

• orgIdentifier必须全局唯一，不能与现有Azure DevOps组织重名。
• 使用的ARM API版本2014-02-26是当前支持创建组织的稳定版本。
• 如果使用服务主体而非托管标识，需在代码中配置服务主体的客户端ID、密钥和租户ID来获取令牌。

内容的提问来源于stack exchange，提问作者IngoH