如何实现Azure Marketplace新建VM自动配置接入DevOps pipeline

直接导出带「Continuous Delivery」配置的VM ARM模板整合到市场应用模板行不通，是因为Azure门户里的VM CD配置不是ARM原生可管理资源——本质是你点配置的时候，门户后台隐式调用Azure DevOps接口完成的注册动作，没有对应可声明的ARM资源类型，自然没法通过ARM模板部署直接落地。我早年发托管应用的时候踩过一模一样的坑，试了嵌套模板、跨资源引用都没成，以下三个是生产验证过的落地方案，适配托管应用的部署逻辑：

方案1：VM自定义脚本扩展自动注册（实现成本最低） #

这个方案全程可以通过ARM模板声明完成，不需要额外维护外部服务，是小团队首选：

• 提前在你的Azure DevOps项目里创建用于应用升级的部署组（Deployment Group），生成Linux环境的代理注册脚本。注意给注册用的PAT只开「部署组读写管理」的最小权限，设置最长有效期，就算脚本被用户拿到也做不了越权操作。
• 把注册脚本做base64编码直接内嵌到mainTemplate.json的VM扩展配置里，不需要依赖外部存储地址；脚本里可以加自定义参数，把当前托管应用的部署ID、VM所属用户标识作为机器标签同步到DevOps，方便后续做灰度升级、版本隔离。
• 在mainTemplate.json里给Linux VM添加CustomScriptForLinux扩展资源（资源类型为Microsoft.Compute/virtualMachines/extensions），配置VM创建完成后自动执行内嵌的注册脚本，脚本跑完VM就会自动加入你DevOps的部署池，直接关联到你预先搭好的升级pipeline。
• 脚本里记得加3-5次重试逻辑，每次重试间隔10秒，避免VM刚启动时网络未就绪、cloud-init没跑完导致注册失败。

方案2：Event Grid + 云服务自动化注册（安全性最高） #

如果不想把DevOps PAT嵌到用户可访问的模板里，选这个方案，PAT完全保存在你自己的租户下，不会暴露给应用安装用户：

• 在托管应用的mainTemplate.json里，额外声明Event Grid系统主题和事件订阅资源，监听托管资源组下的VM创建成功事件，事件推送目标配置为你自己租户下的Azure Function或者Logic App。
• 你自己的云服务侧，把DevOps注册用的PAT存在Key Vault里，收到新VM创建的事件后，通过Azure VM Run Command能力远程在目标VM上执行注册脚本，完成DevOps pipeline关联。
• 这个方案后续做PAT轮换、注册逻辑调整都不需要重新发布Marketplace应用版本，维护成本更低，也避免了PAT泄露的风险，适合对安全合规要求高的场景。

方案3：Guest Configuration策略合规注册（适合大规模运维场景） #

如果后续你需要统一管控所有用户侧VM的配置合规性，避免用户手动卸载代理导致升级失效，可以用Azure Policy的Guest Configuration能力：

• 自定义一个Guest Configuration策略，定义VM必须安装对应版本DevOps代理、关联指定DevOps部署组的合规要求，把这个策略作为托管应用的一部分随部署生效。
• 策略检测到VM未完成DevOps注册、或者代理被卸载时，自动触发修正任务，在VM本地执行注册脚本完成关联。
• 这个方案的优势是配置状态会持续被Azure巡检，异常自动修复，缺点是前期配置复杂度比前两个方案高。

配置参考截图 #

内容的提问来源于stack exchange，提问作者Arya