如何在Azure DevOps Server中锁定发布流水线的数据库发布代理作业

问题根因说明 #

你当前遇到的开发人员无法编辑流水线的问题，核心原因是普通开发者没有数据库部署所用代理池的查看权限，流水线加载作业配置时无法读取关联的代理池信息就会触发全局权限报错，导致整个流水线都无法操作。

可选落地方法 #

方案1：拆分独立流水线（安全性最高） #

• 单独创建数据库发布流水线，仅给DBA团队配置编辑权限，该流水线独占高权限数据库代理池，普通开发者仅授予查看、触发权限
• 原流水线仅保留应用程序部署相关的作业配置，放开给开发团队编辑权限，使用普通应用部署代理池
• 可配置流水线完成触发器，数据库发布流水线运行成功后自动触发应用发布流水线，不需要开发人员操作高权限流水线的任何配置

方案2：作业级别权限隔离（适用于不想拆分流水线的经典发布场景） #

• 先解决访问报错：给所有开发人员授予数据库代理池的仅查看权限，不要额外开放使用、管理权限，不会引发权限泄露风险
• 再配置作业编辑限制：
  1. 打开发布流水线的安全配置页，定位到数据库部署对应的Agent Job
  2. 移除开发团队、普通贡献者组在该作业上的编辑权限，仅保留DBA团队的编辑、管理权限
  3. 确认应用部署对应的Agent Job保留开发团队的正常编辑权限

方案3：YAML模板隔离（适用于YAML格式流水线） #

• 将数据库部署的所有步骤、代理池配置抽成独立的YAML模板，模板存放到仅DBA有编辑权限的独立代码仓库
• 主流水线直接引用该模板，开发人员可自由修改主流水线中应用部署相关的逻辑，无权修改模板仓库的数据库部署配置
• 数据库代理池的权限仅授予模板关联的服务账号，开发人员不需要持有该代理池的任何权限，不会出现访问报错

权限配置完成后建议做两项验证：1. 用普通开发账号登录，确认可以正常编辑应用部署部分的配置，保存流水线无报错；2. 用非DBA账号尝试修改数据库部署Job的配置，确认会触发权限不足的提示无法保存。

内容的提问来源于stack exchange，提问作者Trubs