Azure Pipeline test部署后跳过人工审批问题排查

已知前提 #

• 通用流水线模板存放在独立代码仓库，YAML配置已稳定运行2.5年，故障发生后确认模板文件无修改，所有引用该模板的服务均复现相同异常
• 原正常流程：Build构建 → 无审批部署dev环境 → 人工审批 → 部署test环境 → 人工审批 → 部署prod环境
• 异常现象：test环境部署完成后直接跳过审批进入prod部署，dev到test阶段的人工审批正常触发

排查步骤（按故障概率从高到低排序） #

1. 核查prod环境的平台侧审批配置（最高优先级） #

注意：环境级审批配置存储在Azure DevOps平台数据库中，完全不跟随代码仓里的YAML模板做版本管理，这类"YAML没改但审批失效"的问题90%以上都是该配置被误改导致的。

操作步骤：

• 进入项目页 Pipelines > Environments，找到prod对应的环境条目，进入详情页打开Approvals and checks标签页
• 逐项核查配置：
  • 确认Manual approval（人工审批）规则是否存在，有没有被误删除
  • 若审批规则存在，核对超时配置：如果超时时间被设为0/极短值，且开启了超时自动放行，会直接跳过审批
  • 核对审批规则的适用范围：检查Applicable branch/Applicable stage过滤条件，确认没有被误修改为排除当前prod部署阶段的规则（比如错误配置为仅特定分支触发才需要审批）
  • 检查是否新增了其他高优先级检查规则，且规则配置为「满足即放行，无需等待其他检查结果」，直接绕过人工审批
• 拿正常触发审批的test环境审批配置做逐行对比，快速定位差异项
• 直接去组织级Audit（审计）日志页，筛选故障发生时间点前后和Environment、Approval、Check相关的操作记录，所有对环境审批配置的增删改都会留痕，可直接定位到操作人和变更内容

2. 校验运行时实际生效的流水线定义 #

即使代码仓里的YAML没有修改，运行时渲染的流水线逻辑可能因为隐式变更出现偏差：

• 找一次异常的流水线运行记录，下载完整日志包，解压后提取根目录下的initialPipeline.yaml文件——这是Azure Pipelines运行时实际加载执行的完整流水线定义，和你代码仓中存储的模板做逐行对比
• 重点核对prod阶段的dependsOn字段，确认prod阶段正确依赖test阶段，没有出现依赖错配（比如误依赖dev阶段、和test阶段并行）
• 核对模板拉取逻辑：如果模板引用用的是分支头（如ref: refs/heads/main）而非固定commit hash，去模板仓库核查提交历史，确认是否存在force push覆盖分支内容、导致实际拉取的模板和预期版本不一致的情况
• 核查所有引用的变量组、服务连接配置，确认没有新增会绕过审批的系统变量、豁免权限配置

3. 核查全局权限与平台侧变更 #

所有服务均复现问题的场景下，需要排查全局配置和平台侧问题：

• 进入组织设置 Pipelines > Settings，检查最近是否开启了「自动审批受信任来源部署」「部署检查豁免」类全局开关
• 检查项目构建服务账号、构建管理员组的权限，确认没有被授予Bypass checks when deploying to environments（部署时绕过检查）的豁免权限
• 核对Azure DevOps服务健康状态，确认所在区域的Pipelines检查服务近期没有故障公告，可交叉验证同组织下其他项目的流水线是否存在同类审批跳过问题

临时修复方案 #

如果排查根因期间需要避免未审批直接部署prod的风险，可直接在prod阶段最前面添加YAML原生的Manual Validation任务，该任务逻辑固化在流水线定义中，不会被平台侧环境配置绕过：

- job: WaitForProdApproval
  pool: server
  timeoutInMinutes: 4320 # 超时时间按需设置，此处为3天
  steps:
  - task: ManualValidation@0
    inputs:
      notifyUsers: |
        部署审批人邮件组/组别名
      instructions: 'test环境部署完成，请完成验证后审批是否推进到prod环境部署'
      onTimeout: 'reject' # 超时自动拒绝，避免意外放行

内容的提问来源于stack exchange，提问作者user3067684