App Service访问限制下Azure DevOps Release Pipeline调用被拒的解决方案

所有方案均无需全局关闭App Service访问限制，可在保留原有安全管控基线的前提下，保障Release Pipeline的冒烟测试请求正常通行：

方案1：定向给Pipeline来源配置IP白名单（最易落地） #

这是配置成本最低、适配性最强的方案，操作逻辑如下：

• 定位Azure DevOps Pipeline的出口公网IP：如果使用微软托管代理，直接匹配DevOps组织所在区域对应的托管代理固定出口IP段即可；如果使用自承载代理，直接取代理服务器的固定公网出口IP。
• 进入目标App Service的访问限制配置页，新增一条优先级高于默认拒绝规则的允许规则，把上述Pipeline来源IP段加入列表，不对其他原有访问逻辑做任何修改。

适用场景：企业不希望大规模调整现有网络架构，需要快速完成流程适配的场景，维护成本极低。

方案2：基于Azure AD身份校验的免IP放行 #

适合不希望开放额外公网IP段的高安全要求场景，完全不需要暴露任何公网来源到白名单：

• 复用Pipeline已有服务连接关联的Azure AD服务主体，给这个服务主体授予调用App Service冒烟测试接口的最小权限。
• 在App Service的访问限制规则中新增匹配规则：允许持有上述指定服务主体访问令牌的请求跳过IP限制，规则优先级高于默认拒绝策略。
• Pipeline执行冒烟测试时，通过Azure AD接口获取对应服务主体的访问令牌，把令牌加入请求头发起接口调用即可。

优势：安全性比IP白名单更高，不会因IP段变更、泄露导致访问风险。

方案3：VNet内网打通的纯内网访问 #

适合对安全等级要求极高、不允许App Service接收任何公网侧请求的生产环境：

• 给目标App Service开启VNet集成能力，接入和自承载DevOps代理网络打通的虚拟网络。
• 调整访问限制规则，只允许来自对应VNet子网的请求访问，移除所有不必要的公网访问允许规则。
• Pipeline的冒烟测试请求直接通过VNet内网链路调用App Service，完全绕过公网侧的访问拦截。

• 严禁为了临时跑通测试全局关闭App Service的访问限制，避免测试窗口期出现未授权访问的安全隐患。
• 配置托管代理IP白名单时，必须和DevOps组织所在的Azure区域严格匹配，错配其他区域的IP段会直接导致白名单规则失效。
• 如果App Service前置了WAF、应用网关、CDN等流量入口，需要先确认前置层的出口IP已加入白名单，避免请求在前置链路就被拦截。

内容的提问来源于stack exchange，提问作者Piotr Perak