Problembehandlung bei Azure Resource Manager Dienstverbindungen

Azure DevOps Services | Azure DevOps Server | Azure DevOps Server 2022

Dieser Artikel enthält allgemeine Problembehandlungsszenarien, die Ihnen bei der Behebung von Problemen helfen, die beim Erstellen einer Azure Resource Manager-Dienstverbindung (ARM) auftreten können. Informationen zum Erstellen, Bearbeiten und Absichern von Dienstverbindungen finden Sie unter Verwalten von Dienstverbindungen. Informationen zum Beheben von Workloadidentitätsproblemen finden Sie unter Fehlerbehebung einer Azure Resource Manager Workload-Identitätsdienstverbindung.

In diesem Artikel werden die Begriffe "Mandant" und "Verzeichnis" in einer Weise verwendet, in denen sie sich überschneiden könnten. Ein Mandant ist eine dedizierte, isolierte Instanz von Microsoft Entra ID, die Ihre Organisation erhält und über die sie alle Identitäten sowie die Zugriffssteuerung für Ihre Clouddienste verwaltet. Ein Verzeichnis ist ein Container innerhalb dieses Mandanten, der Objekte wie Benutzer, Gruppen und Anwendungen enthält, die zum Verwalten des Zugriffs auf Ressourcen verwendet werden.

Was geschieht, wenn Sie eine Azure Resource Manager Dienstverbindung erstellen

Sie haben mehrere Authentifizierungsoptionen für die Verbindung mit Azure über eine Azure Resource Manager-Dienstverknüpfung. Wir empfehlen die Verwendung des Workload-Identitätsverbunds mit einer App-Registrierung oder verwalteter Identität.

Wenn der Erstellungsprozess der Dienstverbindung erfolgreich ist, führt Azure DevOps diese Schritte automatisch in Ihrem Microsoft Entra Mandanten aus. Wenn während dieses Prozesses Fehler auftreten, lesen Sie die folgenden Problembehandlungsszenarien.

Wenn Sie Ihre neue Azure Resource Manager-Dienstverbindung speichern, führt Azure DevOps die folgenden Aktionen aus:

1. Stellt eine Verbindung mit dem Microsoft Entra-Mandanten für das ausgewählte Abonnement her.
2. Erstellt eine Anwendung in Entra ID im Auftrag des Benutzers.
3. Weist dem ausgewählten Abonnement die Anwendung als mitwirkend zu.
4. Erstellt mithilfe der Details dieser Anwendung eine Azure Resource Manager Dienstverbindung.

Der Benutzer verfügt nur über Gastberechtigungen im Verzeichnis

Dieser Fehler tritt während des automatischen Dienstverbindungserstellungsprozesses auf, wenn Azure DevOps versucht, eine Anwendung zu erstellen und Berechtigungen in Microsoft Entra ID zuzuweisen (Schritte 2 bis 3 in What tritt auf, wenn Sie eine Azure Resource Manager Dienstverbindung erstellen). Dies geschieht, wenn ein Benutzer mit nur Gastberechtigungen in einem Microsoft Entra ID Verzeichnis versucht, eine Azure Resource Manager Dienstverbindung in Azure DevOps zu erstellen, aber über unzureichende Berechtigungen verfügt.

So beheben Sie dieses Problem:

1. Melden Sie sich mit einem Administratorkonto beim Azure-Portal an. Beim Konto sollte es sich um einen Besitzer oder einen Benutzerkontoadministrator handeln.

2. Wählen Sie Microsoft Entra ID in der linken Navigationsleiste aus.

3. Stellen Sie sicher, dass Sie das entsprechende Verzeichnis bearbeiten, das dem Benutzerabonnement entspricht. Wählen Sie andernfalls "Verzeichnis wechseln" aus und melden Sie sich, bei Bedarf, mit den entsprechenden Anmeldeinformationen an.

4. Wählen Sie Benutzer im Abschnitt Verwalten aus.

5. Wählen Sie Benutzereinstellungen aus.

6. Wählen Sie im Abschnitt Externe Benutzer die Option Einstellungen für externe Zusammenarbeit verwalten aus.

7. Ändern Sie die Option Gastbenutzerberechtigungen sind eingeschränkt in Nein.

Alternativ können Sie, wenn Sie bereit sind, dem Benutzer Berechtigungen auf Administratorebene zu erteilen, den Benutzer zu einem Mitglied einer Administratorrolle machen. Führen Sie die folgenden Schritte aus:

1. Melden Sie sich mit einem Administratorkonto beim Azure-Portal an. Beim Konto sollte es sich um einen Besitzer oder einen Benutzerkontoadministrator handeln.

2. Wählen Sie im linken Navigationsbereich Microsoft Entra ID aus.

3. Stellen Sie sicher, dass Sie das entsprechende Verzeichnis bearbeiten, das dem Benutzerabonnement entspricht. Wählen Sie andernfalls "Verzeichnis wechseln" aus und melden Sie sich, bei Bedarf, mit den entsprechenden Anmeldeinformationen an.

4. Wählen Sie Benutzer im Abschnitt Verwalten aus.

5. Verwenden Sie das Suchfeld, um den Benutzer zu finden, den Sie verwalten möchten.

6. Wählen Sie die Rolle Directory im Abschnitt Verwalten aus, und ändern Sie dann die Rolle. Wählen Sie Speichern aus, wenn Sie fertig sind.

In der Regel dauert es 15 bis 20 Minuten, um die Änderungen global anzuwenden. Der Benutzer kann dann versuchen, die Dienstverbindung neu zu erstellen.

Der Benutzer ist nicht berechtigt, Anwendungen zum Verzeichnis hinzuzufügen

Dieser Fehler tritt während des automatischen Dienstverbindungserstellungsprozesses auf, wenn Azure DevOps versucht, eine Anwendung in Microsoft Entra ID in Ihrem Auftrag zu erstellen (Schritt 2 in What tritt auf, wenn Sie eine Azure Resource Manager Dienstverbindung erstellen). Sie verfügen nicht über die Berechtigung zum Hinzufügen integrierter Anwendungen im Verzeichnis. Der Verzeichnisadministrator verfügt über Berechtigungen zum Ändern dieser Einstellung.

So beheben Sie dieses Problem:

1. Wählen Sie im linken Navigationsbereich Microsoft Entra ID aus.

2. Stellen Sie sicher, dass Sie das entsprechende Verzeichnis bearbeiten, das dem Benutzerabonnement entspricht. Wählen Sie andernfalls "Verzeichnis wechseln" aus und melden Sie sich, bei Bedarf, mit den entsprechenden Anmeldeinformationen an.

3. Wählen Sie "Benutzer" und dann " Benutzereinstellungen" aus.

4. Ändern Sie unter App registrations die Benutzer können Anwendungen registrieren Option auf Yes.

Es konnte kein Zugriffstoken abgerufen werden oder es wurde kein gültiges Aktualisierungstoken gefunden

Diese Fehler treten in der Regel auf, wenn Ihre Sitzung abläuft.

Gehen Sie zum Beheben dieser Probleme wie folgt vor:

1. Melden Sie sich bei Azure DevOps ab.

2. Öffnen Sie ein InPrivate- oder Inkognito-Browserfenster, und wechseln Sie zu Azure DevOps.

3. Melden Sie sich mit den entsprechenden Anmeldeinformationen an.

4. Wählen Sie Ihre Organisation und Ihr Projekt aus.

5. Versuchen Sie erneut, die Dienstverbindung zu erstellen. Ausführliche Schritte finden Sie unter Verwalten von Dienstverbindungen.

Sie scheinen kein aktives Azure-Abonnement zu haben, wenn Sie versuchen, eine neue Dienstverbindung zu bearbeiten oder zu erstellen.

Dieser Fehler tritt in der Regel auf, wenn Sie Teil mehrerer Entra ID Mandanten sind.

So beheben Sie dieses Problem:

1. Wechseln Sie zu VS-Profil.

2. Prüfen Sie, ob Sie mehrere Mandanten haben.

3. Wählen Sie jeden Mandanten aus, und authentifizieren Sie dann erneut.

4. Versuchen Sie, eine Dienstverbindung zu erstellen, und überprüfen Sie dann, ob das Abonnement geladen wird.

Fehler beim Zuweisen der Rolle eines Mitwirkenden

Dieser Fehler tritt während des Erstellungsprozesses für die automatische Dienstverbindung auf, wenn Azure DevOps versucht, die Anwendung als Mitwirkender zu Ihrem Abonnement zuzuweisen (Schritt 3 in What tritt auf, wenn Sie eine Azure Resource Manager Dienstverbindung erstellen). Dieser Fehler tritt in der Regel auf, wenn Sie nicht über Write Berechtigung für das ausgewählte Azure-Abonnement verfügen.

Um dieses Problem zu beheben, bitten Sie den Abonnementadministrator, Ihnen die entsprechende Rolle zuzuweisen in Microsoft Entra ID.

Abonnement wird beim Erstellen einer Dienstverbindung nicht aufgeführt

Es gibt mehrere mögliche Ursachen für dieses Problem.

• Maximalanzahl von 50 Azure-Abonnements in den verschiedenen Azure-Abonnement-Dropdown-Menüs überschritten (Abrechnung, Dienstverbindung usw.): Wenn Sie eine Dienstverbindung einrichten und mehr als 50 Azure-Abonnements haben, werden einige Ihrer Abonnements nicht aufgelistet. Führen Sie in diesem Szenario die folgenden Schritte aus:

  1. Erstellen Sie einen neuen, nativen Microsoft Entra Benutzer in der Microsoft Entra Instanz Ihres Azure-Abonnements.

  2. Richten Sie den Microsoft Entra Benutzer so ein, dass er über die richtigen Berechtigungen zum Einrichten der Abrechnung oder zum Erstellen von Dienstverbindungen verfügt. Weitere Informationen finden Sie unter Einen Benutzer hinzufügen, der die Abrechnung für Azure DevOps einrichten kann.

  3. Fügen Sie den Microsoft Entra Benutzer der Azure DevOps Organisation mit einer Stakeholder-Zugriffsebene hinzu und fügen Sie ihn dann der Project Collection Administrators-Gruppe (zur Abrechnung) hinzu, oder stellen Sie sicher, dass der Benutzer über ausreichende Berechtigungen im Team Project verfügt, um Serviceverbindungen zu erstellen.

  4. Melden Sie sich bei Azure DevOps mit den neuen Benutzeranmeldeinformationen an, und richten Sie die Abrechnung ein. In der Liste wird nur ein Azure Abonnement angezeigt.

• Alter Benutzertoken in Azure DevOps Services zwischengespeichert: Wenn Ihr Azure-Abonnement nicht erscheint, wenn Sie eine Azure Resource Manager (ARM) Dienstverbindung erstellen, könnte dies an einem alten zwischengespeicherten Benutzertoken in Azure DevOps Services liegen. Dieses Szenario ist nicht sofort offensichtlich, da auf dem Listenbildschirm von Azure Abonnements keine Fehler oder Warnmeldungen angezeigt werden, die darauf hinweisen, dass das Benutzertoken veraltet ist. Um dieses Problem zu beheben, aktualisieren Sie das zwischengespeicherte Benutzertoken in Azure DevOps Services manuell, indem Sie die folgenden Schritte ausführen:

  1. Melden Sie sich bei Azure DevOps Services ab, und melden Sie sich wieder an. Diese Aktion kann das Benutzertoken aktualisieren.
  2. Löschen Sie Ihren Browsercache und Cookies, um sicherzustellen, dass alte Token entfernt werden.
  3. Wechseln Sie im Azure DevOps-Portal zu den Dienstverbindungen, und autorisieren Sie die Verbindung erneut mit Azure. In diesem Schritt werden Azure DevOps aufgefordert, ein neues Token zu verwenden.

• Falsche Einstellungen für die Unterstützung von Kontotypen: Beheben Sie dieses Problem, indem Sie die unterstützten Kontotypeneinstellungen ändern und definieren, wer Ihre Anwendung verwenden kann. Folgen Sie diesen Schritten:

  1. Melden Sie sich beim Azure-Portal an.

  2. Wenn Sie Zugriff auf mehrere Mandanten haben, verwenden Sie im Menü am oberen Rand den Filter Verzeichnis + Abonnement, um den Mandanten auszuwählen, für den Sie eine Anwendung registrieren möchten.

     

  3. Wählen Sie im linken Bereich Microsoft Entra ID aus.

  4. Wählen Sie App registrations aus.

  5. Wählen Sie Ihre Bewerbung aus der Liste der registrierten Bewerbungen aus.

  6. Wählen Sie unter Authentifizierung die Option Unterstützte Kontotypen aus.

  7. Wählen Sie unter Unterstützte Kontotypen bei Who can use this application or access this API? (Wer kann diese Anwendung verwenden oder auf diese API zugreifen?) die Option Konten in einem beliebigen Organisationsverzeichnis aus.

     

  8. Wählen Sie Speichern aus, wenn Sie fertig sind.

Diensthauptbenutzerkonto oder geheimes Kennwort abgelaufen

Dienstprinzipale oder Geheimnisse, die Azure DevOps automatisch erstellt, laufen ab und müssen erneuert werden. Wenn beim Aktualisieren des Tokens Probleme auftreten, lesen Sie "Fehler beim Abrufen eines Zugriffstokens", oder es wurde kein gültiges Aktualisierungstoken gefunden. Um die Notwendigkeit zur Erneuerung von geheimen Schlüsseln zu vermeiden, verwenden Sie die Arbeitslast-Identitätsföderation mit Azure Resource Manager.

Wenn Ihr Token abläuft, wird möglicherweise eine der folgenden Fehlermeldungen angezeigt:

• AADSTS7000215: Invalid client secret is provided
• AADSTS7000222: The provided client secret keys for app '***' are expired
• Invalid client id or client secret

So erneuern Sie das Zugriffstoken für einen automatisch erstellten Dienstprinzipal oder ein Geheimnis:

1. Wechseln Sie zu Project einstellungen>Service connections und wählen Sie dann die Dienstverbindung aus, die Sie aktualisieren möchten.

2. Wählen Sie "Geheimen Schlüssel drehen" aus.

   

Das Token für den Dienstprinzipal oder das Geheimnis wurde nun um drei weitere Monate verlängert.

Fehler beim Abrufen des JWT mithilfe der Client-ID des Dienstprinzipals

Dieses Problem tritt auf, wenn Sie versuchen, eine Dienstverbindung zu speichern, die einen abgelaufenen geheimen Schlüssel oder andere Probleme auf Microsoft Entra ID-Ebene aufweist.

Eine Dienstverbindung in diesem Zustand wird möglicherweise auch nicht in Pipelineaufgabendropdowns (z. B. Azure App Service Bereitstellen oder Azure PowerShell) angezeigt, obwohl sie unter Project settings>Service connections sichtbar ist. Dies geschieht, wenn der zugrunde liegende Dienstprinzipal gelöscht wurde oder der isReady Status der Verbindung lautet false.

So beheben Sie dieses Problem:

1. Wechseln Sie zu Project einstellungen>Service connections und wählen Sie dann die Dienstverbindung aus, die Sie ändern möchten.
2. Wählen Sie "Bearbeiten" und dann " Überprüfen " aus, um den Verbindungsstatus zu überprüfen.
3. Wenn die Überprüfung mit einem AADSTS700016 Fehler fehlschlägt ("die Anwendung mit dem Bezeichner wurde nicht im Verzeichnis gefunden"), wurde der Dienstprinzipal gelöscht. Erstellen Sie eine neue Dienstverbindung oder für manuelle Verbindungen, aktualisieren Sie die Verbindung mit neuen Dienstprinzipaldetails.
4. Wenn die Überprüfung erfolgreich ist, wählen Sie "Speichern " aus, um die Dienstverbindung zu speichern.

Azure-Abonnement wird nicht aus der vorherigen Aufgabenausgabe übergeben.

Wenn Sie Ihr Azure-Abonnement dynamisch für Ihre Veröffentlichungspipeline festlegen und die Ausgabevariable aus einer vorherigen Aufgabe nutzen möchten, tritt möglicherweise dieses Problem auf.

Vergewissern Sie sich zur Behebung dieses Problems, dass die Werte im Variablenabschnitt Ihrer Pipeline definiert sind. Sie können diese Variable dann zwischen den Aufgaben Ihrer Pipeline übergeben.

Welche Authentifizierungsmechanismen werden unterstützt? Wie funktionieren verwaltete Identitäten?

AuthorizationFailed: The client '<ClientName>' with object id '<ObjectId>' does not have authorization 
to perform action '<ActionName>' over scope '/subscriptions/<SubscriptionId>/...'

Resource not authorized. You need to authorize the resource before it can be used.

I'm getting this Azure DevOps service connection error: [PASTE YOUR ERROR MESSAGE HERE]

Can you help me troubleshoot this issue? Please provide step-by-step instructions to:
1. Identify the root cause
2. Fix the configuration in Azure or Entra ID
3. Verify the solution works

Context: This is for an Azure Resource Manager service connection in Azure DevOps.

Verwandte Artikel

• Beheben von Problemen mit einer Azure Resource Manager-Workload-Identitätsdienstverbindung
• Probleme bei Pipelineausführungen beheben
• Überprüfen von Protokollen zum Diagnostizieren von Pipelineproblemen
• Alle Anleitungen zur Problembehandlung und häufig gestellte Fragen