如何移除Azure DevOps Pipeline对Azure VM的访问权限

操作分为Azure DevOps平台侧配置清理、Azure VM本地残留清理两部分，全部完成后即可彻底切断Pipeline对该VM的访问链路。

Azure DevOps 平台侧操作 #

• 登录对应Azure DevOps项目，在左侧菜单进入「Pipelines」-「Deployment Groups」页面，找到你之前为该VM配置的部署组
• 在部署组的目标机器列表中，选中这台Azure VM对应的条目，点击操作栏的删除选项，将机器从部署组的可调度目标列表中移除
• 若该部署组后续不再用于其他机器的发布流程，可直接删除整个部署组；同时打开关联的发布流水线、构建流水线，删除或禁用绑定该部署组的Web Deploy部署任务，避免流水线误触发无效部署
• （可选）如果此前为该VM单独配置了专用的服务连接、部署凭据，进入项目设置的「Service connections」页面，找到对应凭据条目删除，避免权限残留。

Azure VM 本地侧操作 #

仅清理平台侧配置无法切断本地代理主动发起的连接，必须登录VM执行以下清理：

• 通过RDP等方式远程登录目标Azure VM，运行services.msc打开服务管理器，找到名称以Azure Pipelines Agent开头的部署代理服务，右键选择「停止」
• 打开部署代理的安装目录，默认路径为C:\azagent\A1（若安装时自定义了路径则进入对应目录），以管理员身份启动命令提示符或PowerShell，切换到该目录后执行卸载命令：.\config.cmd remove，按照提示确认本地管理员权限后，即可完成代理卸载，同时自动清除本地代理和Azure DevOps侧的注册关联
• 卸载完成后，直接删除整个代理安装目录即可
• 检查Windows防火墙配置：如果部署时为Web Deploy临时开放了入站端口（Web Deploy默认使用8172端口）、代理通信专用规则，在Windows Defender防火墙的入站规则列表中找到对应条目禁用或删除，关闭不必要的对外暴露端口。

注意：请勿跳过本地代理卸载步骤，若仅删除平台侧的机器条目，本地残留的代理会持续轮询尝试连接Azure DevOps服务，虽不会再执行部署任务，但会产生无意义的出站流量和运行日志。

内容的提问来源于stack exchange，提问作者variable