Sichere Anmeldung für Power Platform Pipelines wählen
Client Secrets, Managed Identities und Workload Identity Federation für Azure DevOps Power Platform Service Connections vergleichen.
TL;DR
Power Platform Build Tools Service Connections unterstützen Client Secrets, Azure Managed Identity und Workload Identity Federation. Federation nutzt einen kurzlebigen Azure DevOps Token und benötigt eine federierte Anmeldeinformation sowie einen Dataverse Anwendungsbenutzer. Managed Identity braucht einen selbstgehosteten Azure Agent, Client Secrets müssen vor Ablauf erneuert werden.
Original von Zsolt Zombik, auf Practical AI, Copilot & Modern Development Insights. Artikel lesen
Dies ist unsere eigene Kurzfassung, keine Wiederveröffentlichung oder vollständige Übersetzung.
Bedeutung für Governance
- Admins/CoE: Für jede Zielumgebung einen Dataverse Anwendungsbenutzer mit passender Rolle einrichten, unabhängig von der Anmeldemethode.
- Security/Compliance: Wenn die Richtlinie es erlaubt, kurzlebige Federation bevorzugen und die Freigabe für Preview in Produktion prüfen.
- Admins/CoE: Grant access permission to all pipelines deaktiviert lassen und Pipelines einzeln autorisieren.
- Makers: PowerPlatformSetConnectionVariables und direkte pac Skripte vor einer Umstellung auf Federation prüfen.
Häufige Fragen
Wie authentifiziert Workload Identity Federation eine Power Platform Service Connection?
Sie tauscht einen kurzlebigen Azure DevOps OIDC Token mit Entra aus. Die Anwendung benötigt eine federierte Anmeldeinformation und einen Dataverse Anwendungsbenutzer.
Warum können Microsoft-gehostete Agents keine Azure Managed Identity für Power Platform Build Tools nutzen?
Microsoft-gehostete Agents unterstützen keine Managed Identities. Diese Option benötigt einen selbstgehosteten Azure VM Agent oder einen Agent Pool mit der betreffenden Identität.
Welchen Issuer und welches Subject brauche ich für eine federierte Power Platform Service Connection?
Verwenden Sie Issuer und Subject, die Azure DevOps in der Connection anzeigt. Ältere veröffentlichte Werte können bei neuen Connections nicht mehr passen.