自定义Azure WebApp调用Azure DevOps API的身份验证方案咨询

核心选型结论 #

优先使用WebApp系统分配托管标识（Managed Identity），无需手动创建独立Service Principal，也无需维护任何长期凭据，比你当前用的个人PAT方案合规性、稳定性都更强。
托管标识本质是Azure自动为你管理的AAD服务主体，不需要你手动在AAD创建、维护服务账号的密钥，生命周期和WebApp完全绑定，WebApp删除时对应标识会自动销毁，完美适配你单路由触发DevOps调用的场景。

完整落地步骤 #

• 第一步：为WebApp启用系统分配托管标识
  进入Azure门户找到目标WebApp，左侧导航栏选择「身份标识」，在「系统分配」标签页将状态切换为「启用」，保存后Azure会自动在AAD中生成对应的服务主体，复制生成的*客户端ID（应用ID）*备用。
• 第二步：为托管标识配置Azure DevOps权限
  进入你的Azure DevOps组织，左下角打开「组织设置」，选择「用户」菜单，点击「添加用户」，搜索框直接粘贴上一步复制的客户端ID，就能匹配到对应的托管标识账号，将账号添加到目标项目，授予构建（Build）贡献者权限即可。
• 第三步：单路由逻辑中集成身份验证
  仅在你需要触发DevOps流水线的路由逻辑中，通过Azure官方身份SDK获取托管标识的访问令牌，调用DevOps API时将令牌放在Authorization请求头即可，DevOps的固定资源ID为499b84ac-1321-427f-aa17-267ca6975798，示例代码（C#，其他语言逻辑一致）：

  // 无需手动传入任何凭据，SDK自动读取WebApp的托管标识信息
  var credential = new DefaultAzureCredential();
  // 获取DevOps API的访问令牌
  var accessToken = await credential.GetTokenAsync(new TokenRequestContext(new[] { "499b84ac-1321-427f-aa17-267ca6975798/.default" }));
  // 构造请求头调用DevOps触发构建接口
  httpClient.DefaultRequestHeaders.Authorization = new AuthenticationHeaderValue("Bearer", accessToken.Token);
  

• 第四步：下线临时PAT方案
  验证托管标识调用流程正常后，即可删除存放在KeyVault中的个人PAT，避免个人账号权限变更、PAT过期导致业务故障。

补充说明 #

如果你的业务后续需要跨租户调用、或者需要统一管理多个服务的权限，也可以选择手动创建Service Principal，配置流程和托管标识一致，只是需要你自行维护Service Principal的密钥轮换，相比托管标识运维成本更高。

内容的提问来源于stack exchange，提问作者crio212