Azure DevOps Server域外部署第二应用层相关问题咨询

1. 部署第二应用层是否必须配置Always On高可用性组？ #

不需要，Always On 高可用性组是用于提升数据层高可用能力的可选配置，和多应用层扩展没有强制绑定关系。只要所有应用层节点都能正常访问同一个配置数据库、项目集合数据库实例，即可完成多应用层部署，你遇到的部署报错和是否配置Always On无关联。

2. 运行安装向导的用户是否必须为域用户？是否该用户同时需要在现有SQL Server实例中拥有对应权限？ #

• 域内部署场景下，运行安装向导的用户必须为和原有部署同域的域用户，不能使用本地账号
• 该用户需要同时满足两类权限要求：
  • 在承载DevOps数据库的SQL Server实例中拥有sysadmin固定服务器角色权限
  • 在原有Azure DevOps部署中属于Team Foundation Administrators最高权限安全组

你遇到的TF255375报错的常见触发原因就是配置账号没有足够的权限读取已有配置数据库的元数据，不是数据库真的损坏，和你原应用层正常运行的情况完全吻合，优先核对账号权限配置即可解决。

3. 能否实现将第二应用层部署在DMZ服务器，对接域内数据层，供域外用户访问DevOps服务？如果无法实现，有无无需迁移到云的其他外部用户访问内部DevOps Server的方案？ #

该部署方案可以实现，需要满足以下前置要求：

• 打通DMZ服务器与域内SQL Server、原有应用层节点的所有必要端口通信（SQL默认1433端口、DevOps默认8080端口等），确保双向访问正常且域名解析无误
• 身份校验层可选择将DMZ服务器加入同域，或者配置Kerberos约束委派/NTLM透传认证满足跨域身份核验要求
• DMZ应用层使用的服务账号需和域内原有应用层服务账号保持一致，且授予对应数据库的访问权限

如果不选择DMZ部署应用层的方案，也可以采用以下非云的外部访问方案：

• 部署反向代理服务（如Nginx、本地版应用代理工具）将内部DevOps服务发布到公网，同步配置多因素认证提升访问安全性
• 部署VPN专线，外部用户通过VPN接入内部网络后访问DevOps服务

内容的提问来源于stack exchange，提问作者ChrisC