Azure DevOps Portal与Azure DevOps Server 2020资源复用问题咨询

跨云端Azure DevOps与本地Azure DevOps Server资产复用最佳实践 #

代理复用 #

• 优先按环境隔离需求划分代理：如果两边流水线的依赖环境、合规要求无冲突，可共用硬件资源，否则单独部署代理
• 共用硬件时建议在同一台机器上部署两个独立的代理服务，分别加入云端和本地的代理池，避免凭据、环境变量互相干扰
• 代理的权限配置遵循最小够用原则，不要给代理分配跨两端的高权限账号

YAML与脚本复用 #

• 公共逻辑优先抽成YAML模板，公共脚本单独存放在专用的公共仓库统一维护，避免多端多副本修改导致版本不一致
• 两边的流水线调用公共资产时统一用版本标签固定引用版本，避免公共资产更新影响存量流水线稳定性

问题1：是否推荐使用同一套自托管代理 #

分场景判断：
如果同时满足以下条件可以共用：

• 代理所在机器网络同时能连通公网的Azure DevOps Portal域名、本地Azure DevOps Server的内网/公网暴露地址，且防火墙放通了两边的代理通信端口
• 两边流水线的依赖工具、运行环境没有版本冲突
• 无合规要求限制本地代理访问公网、或者云端代理访问内部敏感资源
• 代理硬件配置足够支撑两边流水线的并发运行需求

如果存在以下情况不推荐共用，建议分开部署：

• 两边项目的依赖环境存在不可兼容的差异（例如本地老项目强制依赖旧版本SDK，云端新项目用最新版本SDK，同机器安装会互相影响）
• 合规要求本地流水线不能访问公网，或者云端流水线不能访问内部业务数据
• 两边流水线并发量高，共用代理会出现资源争抢导致任务排队超时

如果选择共用硬件，不要把同一个代理服务同时注册到云端和本地，建议安装两个独立的代理实例分别对接两端，配置独立的运行账号和工作目录，彻底隔离运行环境。

问题2：本地的Azure DevOps Server能否访问云端Azure Repo中存储的YAML和PS1脚本 #

可以实现，主流有两种方案：

1. 直接拉取：在本地Azure DevOps Server的流水线配置中，将云端Azure Repo添加为外部代码仓库资源，使用拥有云端仓库只读权限的PAT（个人访问令牌）做认证，配置完成后可以直接在本地流水线中引用云端的YAML模板、拉取PS1脚本到本地代理执行。注意PAT只需要开通代码只读权限即可，不要分配多余权限避免风险。
2. 同步拉取：如果本地网络有严格的防火墙限制，不允许本地Server直接访问公网Azure服务，可以配置定时同步任务，将云端公共仓库的YAML和脚本定期同步到本地Server的专用公共仓库中，两边维护统一的版本号即可。

内容的提问来源于stack exchange，提问作者ClaudeVernier