Azure DevOps SaaS是否支持专用链接？服务挂钩能否访问VNet私有端点？

核心结论 #

1. Azure DevOps Services（SaaS版本）不支持专用链接（Private Link）：目前官方并未提供将Azure DevOps SaaS组织与客户Azure VNet通过专用链接直接连接的能力，无法通过这种方式让Azure DevOps的服务流量进入你的VNet。
2. 服务挂钩无法通过专用链接访问内部函数应用：Azure DevOps SaaS本身是公网托管服务，其服务挂钩发起的请求均来自公网IP段；而你的函数应用仅在VNet内通过私有端点暴露，没有公网访问入口，所以即使尝试配置专用链接（本身也不支持），服务挂钩也无法触达你的内部函数。

可行替代方案 #

如果需要让Azure DevOps服务挂钩触发VNet内的私有函数应用，可以考虑以下两种方案：

• Azure Relay 混合连接：在你的VNet内部署Azure Relay的混合连接侦听器，将函数应用与Relay绑定。让Azure DevOps的服务挂钩调用Relay的公网终结点，请求会通过Relay转发到VNet内的函数应用。这种方式不需要给函数应用暴露公网入口，同时能实现跨网络的请求转发。
• Azure API Management（APIM）+ 私有端点：部署带有公网入口的APIM实例，配置APIM通过私有端点访问你的VNet内函数应用。之后让Azure DevOps服务挂钩调用APIM的公网API地址，由APIM作为中间层将请求转发到内部函数应用。你可以通过APIM的访问策略进一步控制请求的安全性。

内容的提问来源于stack exchange，提问作者Ofer.W