多微服务跨资源组部署创建Service connection的最佳实践

不需要为每个Web App单独创建服务连接，单个Azure Resource Manager（ARM）类型的服务连接即可对接所有跨资源组的Web App及配套资源，核心是调整服务连接的作用域、按最小权限原则给关联服务主体分配RBAC权限即可。

具体操作步骤 #

• 新建订阅级范围的ARM服务连接
  在Azure DevOps项目的服务连接页面新建ARM类型连接，认证方式选择「服务主体（自动）」，作用域级别选择目标Azure订阅，不要选择单个资源组，完成连接创建。

  注意：这一步不要直接给服务连接授予订阅级别的全局Contributor权限，后续按资源粒度单独配权，遵循最小权限原则。

• 给服务主体按资源组分配对应权限
  到Azure Active Directory的应用注册列表中，找到和刚才创建的服务连接同名的服务主体，复制其对象ID；针对每个存放微服务资源（Web App、SQL DB等）的资源组，单独给该服务主体分配所需角色：
  • 仅部署Web App、执行部署槽切换、修改应用配置的场景，分配Website Contributor角色即可满足全部需求
  • 如果流水线需要同时操作配套SQL DB、修改数据库防火墙规则、配置连接字符串，按需在对应资源组追加SQL DB Contributor角色，或者根据实际操作需求配置自定义细粒度角色
• 流水线全局复用该服务连接
  所有微服务的Azure App Service部署任务、Azure资源管理任务，不管目标资源属于哪个资源组，都统一选择这一个服务连接，只需要在每个任务的参数中单独指定目标资源组名称、对应Web App/DB的实例名即可正常执行部署。

常见误区说明 #

很多人需要重复创建服务连接的核心原因是创建服务连接时，被向导默认选中的「单个资源组」范围误导，直接走完创建流程，导致生成的服务连接本身被权限锁绑定在单个资源组下，无法访问其他资源组的资源，本质是创建时的范围选择错误，不是服务连接本身不支持跨资源组操作。

额外优化建议 #

• 如果企业内部有管理组（Management Group）层级的权限管控要求，也可以把服务连接的作用域设置为包含所有目标资源组的管理组，同样可以实现单连接覆盖，权限粒度可以控制得更灵活
• 服务连接创建完成后，建议在服务连接的安全配置中开启授权限制，仅给需要用到的流水线开放使用权限，避免无关流水线滥用高权限连接
• 如果存在跨订阅部署的场景，只需要给同一个服务主体在其他订阅的对应资源组上分配好所需角色，这个服务连接同样可以跨订阅使用，不需要额外新建连接

内容的提问来源于stack exchange，提问作者Ajit Medhekar