Azure DevOps - 网络防火墙后面的部署池本地代理

Question

此问题涉及 "Deployment Pool" 成员代理，而不是 "Agent Pool" 构建（Microsoft 仍需要做一些工作以防止两者混淆。它是相同的代理软件，但该代理可以配置为构建软件或仅将工件部署到 运行 部署）

Microsoft 有一个关于本地防火墙后面的代理的简短部分，但它是一个混合消息，不能清楚地仅解决部署池代理。

https://docs.microsoft.com/en-us/azure/devops/pipelines/agents/agents?view=azure-devops#communication

（在上面的 link 中称为 "Communication to deploy to target servers" 的部分）

图里，在我看来，应该更像我改编的图and attached here

我围绕网络安全的批准进行了一场斗争，以允许部署池代理上的代理软件连接到 Azure DevOps 以允许触发发布管道并将工件下载到它们。

我已经说过，我相信您要在该管道中部署工件和部署步骤列表的每台服务器都需要安装代理软件，并通过端口 443 直接连接回 dev.azure.com

我这个假设正确吗？

Answer 1

不，这不正确，您需要 443 出站 连接到这些域：

对于使用 *.visualstudio.com 域的组织：

https://login.microsoftonline.com
https://app.vssps.visualstudio.com 
https://{organization_name}.visualstudio.com
https://{organization_name}.vsrm.visualstudio.com
https://{organization_name}.pkgs.visualstudio.com
https://{organization_name}.vssps.visualstudio.com

对于使用 dev.azure.com 域的组织：

https://dev.azure.com
https://*.dev.azure.com
https://login.microsoftonline.com
https://management.core.windows.net

即使您想将代理直接部署到服务器，它仍然是出站连接，而不是入站连接。代理正在轮询 Azure Devops，反之亦然。