能否将Azure DevOps服务钩子Webhook发至Log Analytics自定义表

核心根因 #

本地PowerShell能正常发数，但DevOps Webhook测试报403，90%以上的原因是Azure DevOps Service Hooks不支持动态生成Log Analytics数据API要求的动态授权签名。
Log Analytics 数据写入API的SharedKey授权签名，必须和当前请求的时间戳、请求体长度、请求方法严格绑定，硬填固定签名最多15分钟就会失效，自然会被API拦截返回禁止访问。 #

必须补全的配置步骤 #

全程不需要修改现有YAML流水线，按以下步骤调整即可：

• 不要直接把Azure DevOps Service Hooks的请求地址填成Log Analytics原生数据API地址，中间必须加一层转发层做签名转换：
  • 最简便方案：部署一个HTTP触发的Azure Function作为转发端点，Service Hooks把流水线运行事件推送给Function，由Function按照Log Analytics官方签名规则动态生成合法请求头，再把事件转发到Log Analytics API
  • 零代码方案：通过Azure DevOps自带的Event Grid集成，配置事件订阅直接把流水线事件导出到Log Analytics，不需要自己写签名逻辑
• 网络白名单配置补全：
  如果你的Log Analytics工作区开启了公网访问限制，不要直接把DevOps服务出口IP加白（DevOps出口IP段不固定，定期更新会导致断流），给中间转发层配置固定公网出口IP，把该IP加到Log Analytics工作区的允许列表即可
• 配置校验项：
  • 不要误用Azure AD服务主体密钥当Log Analytics工作区共享密钥，必须用Log Analytics工作区「代理配置」页里的主/辅助密钥
  • 确认转发层调用的Log Analytics API路径正确，必须用数据写入API路径：https://<你的工作区ID>.ods.opinsights.azure.com/api/logs?api-version=2016-04-01，不要误用Log Analytics的资源管理类API路径
  • 确认Service Hooks配置的事件范围正确，至少勾选「运行状态已更改」事件，筛选失败状态触发即可
  • 如果用Azure Function做转发，确认Service Hooks请求头里带的Function访问密钥正确，不要漏填x-functions-key头

快速验证方法 #

1. 先抓取Azure DevOps测试Webhook时发出的请求体样例，用Postman带上你配置的静态头发给你当前填的端点，看返回的错误详情，基本能直接定位是签名失效还是网络拦截
2. 给中间转发层开启请求日志，确认DevOps的请求是否正常到达，先排除网络层面的拦截
3. 验证转发层写入Log Analytics的逻辑时，可以先拿本地PowerShell测通的逻辑直接放到Function代码里，不需要额外改逻辑

内容的提问来源于stack exchange，提问作者Dawud