Azure Resource Manager 서비스 연결 문제 해결

Azure DevOps 서비스 | Azure DevOps Server | Azure DevOps Server 2022

이 문서에서는 ARM(Azure Resource Manager) 서비스 연결을 만들 때 발생할 수 있는 문제를 해결하는 데 도움이 되는 일반적인 문제 해결 시나리오를 제공합니다. 서비스 연결을 만들고, 편집하고, 보호하는 방법을 알아보려면 서비스 연결 관리를 참조하세요. 워크로드 ID 관련 문제를 해결하는 방법을 알아보려면 Azure Resource Manager 워크로드 ID 서비스 연결 문제 해결을 참조하세요.

이 문서에서는 겹칠 수 있는 방식으로 "테넌트" 및 "디렉터리"라는 용어를 사용합니다. 테넌트는 조직에서 클라우드 서비스에 대한 모든 ID 및 액세스 제어를 수신하고 관리하는 격리된 전용 Microsoft Entra ID 인스턴스입니다. 디렉터리란 리소스에 대한 액세스를 관리하는 데 사용되는 사용자, 그룹 및 애플리케이션과 같은 개체를 보유하는 해당 테넌트 내의 컨테이너입니다.

Azure Resource Manager 서비스 연결을 만들면 어떻게 되나요?

Azure Resource Manager 서비스 연결을 사용하여 Azure에 연결하기 위한 여러 인증 옵션이 있습니다. 앱 등록 또는 관리 ID와 함께 워크로드 ID 페더레이션을 사용하는 것이 좋습니다.

서비스 연결 만들기 프로세스가 성공하면 Azure DevOps Microsoft Entra 테넌트에서 이러한 단계를 자동으로 수행합니다. 이 프로세스 중에 오류가 발생하는 경우 아래의 문제 해결 시나리오를 참조하세요.

새 Azure Resource Manager 서비스 연결을 저장하면 Azure DevOps 다음 작업을 수행합니다.

1. 선택한 구독의 Microsoft Entra 테넌트에 연결합니다.
2. 사용자를 대신하여 Entra ID 애플리케이션을 만듭니다.
3. 애플리케이션을 선택한 구독에 기여자로 할당합니다.
4. 이 애플리케이션의 세부 정보를 사용하여 Azure Resource Manager 서비스 연결을 만듭니다.

워크로드 ID 페더레이션 시나리오 문제 해결

서비스 연결을 만들거나 업데이트하거나 사용할 때 다음과 같은 문제가 발생할 수 있습니다.

• 파이프라인에 더 이상 사용되지 않는 Azure DevOps 발급자 경고가 표시됩니다.
• 자동 변환 실패
• 서비스 연결을 편집할 수 있지만 페더레이션 자격 증명을 추가할 수 없습니다.
• 페더레이션 자격 증명 값이 일치하지 않음
• 앱 등록 또는 관리 ID를 누가 소유하고 있는지 알 수 없습니다.
• 서비스 연결은 다중 테넌트 앱을 사용합니다.

파이프라인에 더 이상 사용되지 않는 Azure DevOps 발급자 경고가 표시됩니다.

파이프라인 경고는 파이프라인이 더 이상 사용되지 않는 Azure DevOps 발급자를 사용하는 워크로드 ID 페더레이션 서비스 연결을 사용 중임을 의미합니다.

경고를 해결하려면:

1. 경고 메시지에 연결된 서비스 연결을 여세요.
2. Microsoft Entra 발급자를 사용하도록 서비스 연결을 변환합니다.
3. 자동 변환이 완료되지 않으면 Resource Manager 워크로드 ID 서비스 연결 설정의 수동 변환 단계를 따릅니다.
4. 서비스 연결이 변환된 후 파이프라인을 다시 실행합니다.

자동 변환 실패

Azure DevOps 먼저 서비스 연결을 자동으로 변환하려고 시도합니다. Azure DevOps 연결된 앱 등록 또는 관리 ID를 업데이트할 수 없는 경우 자동 변환이 실패할 수 있습니다.

문제를 해결하려면:

1. Azure DevOps 서비스 연결 관리자 또는 엔드포인트 관리자 권한이 있는지 확인합니다.
2. 사용자 또는 ID 소유자가 연결된 앱 등록 또는 관리 ID에 페더레이션된 자격 증명을 추가할 수 있는지 확인합니다.
3. Azure DevOps 표시된 발급자 및 주체 식별자 값을 복사합니다.
4. Azure 또는 Microsoft Entra 연결된 ID에 페더레이션 자격 증명을 추가합니다.
5. Azure DevOps 서비스 연결로 돌아가서 설정을 완료합니다.

서비스 연결을 편집할 수 있지만 페더레이션 자격 증명을 추가할 수 없습니다.

Azure DevOps 서비스 연결 권한은 Azure 또는 Microsoft Entra ID를 업데이트할 수 있는 권한을 부여하지 않습니다. 앱 등록 또는 관리 ID는 다른 사용자 또는 팀이 소유할 수 있습니다.

이 문제를 해결하려면 Azure 관리자, 앱 등록 소유자 또는 관리 ID 소유자에게 페더레이션 자격 증명을 추가하도록 요청합니다. Azure DevOps 서비스 연결에서 생성된 발급자 및 주체 식별자 값을 제공합니다.

페더레이션 자격 증명 값이 일치하지 않음

워크로드 ID 서비스 연결은 일치하는 페더레이션 자격 증명 값에 따라 달라집니다. Azure 또는 Microsoft Entra 발급자 또는 주체 식별자가 Azure DevOps 생성된 값과 일치하지 않으면 인증이 실패할 수 있습니다.

문제를 해결하려면:

1. Azure DevOps 서비스 연결을 엽니다.
2. 생성된 발급자 및 주체 식별자 값을 복사합니다.
3. Azure 또는 Microsoft Entra 연결된 앱 등록 또는 관리 ID를 엽니다.
4. 페더레이션 자격 증명 값을 비교합니다.
5. 값이 일치할 수 있도록 페더레이션 자격 증명을 업데이트하거나 다시 만듭니다.

앱 등록 또는 관리 ID를 누가 소유하고 있는지 알 수 없습니다.

일부 조직에서는 Azure DevOps 관리를 Azure 또는 Microsoft Entra ID 관리와 분리합니다. 현재 서비스 연결 관리자가 ID를 소유하지 않으면 관리자가 변환을 완료하지 못할 수 있습니다.

문제를 해결하려면:

• 앱 등록의 경우 Microsoft Entra 앱 등록 소유자를 확인합니다.
• 관리 ID의 경우 관리 ID 또는 해당 리소스 그룹에 대한 역할 할당이 있는 사용자를 확인합니다.
• 소유자를 식별할 수 없는 경우 테넌트 관리자 또는 구독 관리자에게 문의하세요.

서비스 연결은 다중 테넌트 앱을 사용합니다.

다중 테넌트 앱 시나리오는 이 지원 중단 범위에 포함되지 않습니다. Azure DevOps 발급자는 다중 테넌트 애플리케이션을 사용하는 서비스 연결에 대해 계속 지원됩니다.

사용자에게 디렉터리에 게스트 권한만 있습니다.

이 오류는 Azure DevOps 애플리케이션을 만들고 Microsoft Entra ID 권한을 할당하려고 할 때 자동 서비스 연결 생성 프로세스 중에 발생합니다( Azure Resource Manager 서비스 연결을 만들 때 발생하는 동작). Microsoft Entra ID 디렉터리에 게스트 권한만 있는 사용자가 Azure DevOps Azure Resource Manager 서비스 연결을 만들려고 하지만 권한이 부족한 경우에 발생합니다.

이 문제를 해결하려면:

1. 관리자 계정으로 Azure 포털에 로그인합니다. 계정은 소유자 또는 사용자 계정 관리자여야 합니다.

2. 왼쪽 탐색 모음에서 Microsoft Entra ID 선택합니다.

3. 사용자 구독에 해당하는 적절한 디렉터리를 편집하고 있는지 확인합니다. 그렇지 않은 경우 디렉터리 전환을 선택하고 필요한 경우 적절한 자격 증명으로 로그인합니다.

4. 관리 섹션에서 사용자를 선택합니다.

5. 사용자 설정을 선택합니다.

6. 외부 사용자 섹션에서 외부 공동 작업 설정 관리를 선택합니다.

7. 게스트 사용자 권한이 제한됩니다 옵션을 아니요로 변경합니다.

또는 사용자 관리자 수준 권한을 부여할 준비가 되면 사용자를 관리자 역할의 구성원으로 만들 수 있습니다. 다음 단계를 완료합니다.

1. 관리자 계정으로 Azure 포털에 로그인합니다. 계정은 소유자 또는 사용자 계정 관리자여야 합니다.

2. 왼쪽 탐색 창에서 Microsoft Entra ID 선택합니다.

3. 사용자 구독에 해당하는 적절한 디렉터리를 편집하고 있는지 확인합니다. 그렇지 않은 경우 디렉터리 전환을 선택하고 필요한 경우 적절한 자격 증명으로 로그인합니다.

4. 관리 섹션에서 사용자를 선택합니다.

5. 검색 상자를 사용하여 관리하려는 사용자를 찾습니다.

6. 디렉터리 역할을 관리 섹션에서 선택하고, 그런 다음 역할을 변경합니다. 완료되면 저장을 선택합니다.

일반적으로 변경 내용을 전역적으로 적용하는 데 15~20분이 걸립니다. 그러면 사용자가 서비스 연결을 다시 만들 수 있습니다.

사용자에게 디렉터리에 애플리케이션을 추가할 권한이 없습니다.

이 오류는 Azure DevOps 사용자 대신 Microsoft Entra ID 애플리케이션을 만들려고 할 때 자동 서비스 연결 생성 프로세스 중에 발생합니다(Azure Resource Manager 서비스 연결을 만들 때 발생하는 동작). 디렉터리에 통합된 애플리케이션을 추가할 수 있는 권한이 없습니다. 디렉터리 관리자에게 이 설정을 변경할 수 있는 권한이 있습니다.

이 문제를 해결하려면:

1. 왼쪽 탐색 창에서 Microsoft Entra ID 선택합니다.

2. 사용자 구독에 해당하는 적절한 디렉터리를 편집하고 있는지 확인합니다. 그렇지 않은 경우 디렉터리 전환을 선택하고 필요한 경우 적절한 자격 증명으로 로그인합니다.

3. 사용자를 선택한 다음, 사용자 설정을 선택합니다.

4. 앱 등록 아래에서 사용자가 애플리케이션 옵션을 Yes로 등록할 수 있습니다.

액세스 토큰을 가져오지 못했거나 유효한 새로 고침 토큰을 찾을 수 없습니다.

이러한 오류는 일반적으로 세션이 만료되는 경우에 발생합니다.

이러한 문제를 해결하려면 다음을 수행합니다.

1. Azure DevOps 로그아웃합니다.

2. InPrivate 또는 incognito 브라우저 창을 열고 Azure DevOps 이동합니다.

3. 적절한 자격 증명으로 로그인합니다.

4. 조직 및 프로젝트를 선택합니다.

5. 서비스 연결을 다시 만들도록 시도하세요. 자세한 단계는 서비스 연결 관리를 참조하세요.

새 서비스 연결을 편집하거나 만들 때 활성 Azure 구독이 없는 것 같습니다.

이 오류는 일반적으로 여러 Entra ID 테넌트의 일부일 때 발생합니다.

이 문제를 해결하려면:

1. VS 프로필로 이동합니다.

2. 여러 테넌트가 있는지 확인합니다.

3. 각 테넌트를 선택한 후 다시 인증하십시오.

4. 서비스 연결을 만든 다음 구독이 로드되는지 확인합니다.

기여자 역할을 할당하지 못했습니다.

이 오류는 Azure DevOps 애플리케이션을 구독에 기여자로 할당하려고 할 때 자동 서비스 연결 생성 프로세스 중에 발생합니다( Azure Resource Manager 서비스 연결을 만들 때 발생하는 동작). 이 오류는 일반적으로 선택한 Azure 구독에 대한 Write 권한이 없는 경우에 발생합니다.

이 문제를 해결하려면 구독 관리자에게 Microsoft Entra ID에서 당신에게 적절한 역할을 할당하도록 요청하십시오.

서비스 연결을 만들 때 구독이 나열되지 않음

이 문제의 원인은 여러 가지가 있습니다.

• 다양한 Azure 구독 드롭다운 메뉴에 나열된 최대 50개의 Azure 구독(청구, 서비스 연결 등): 서비스 연결을 설정하고 Azure 구독이 50개 이상인 경우 일부 구독이 나열되지 않습니다. 이 시나리오에서는 다음 단계를 완료합니다.

  1. Azure 구독의 Microsoft Entra 인스턴스에 새 네이티브 Microsoft Entra 사용자를 만듭니다.

  2. 청구를 설정하거나 서비스 연결을 만들 수 있는 적절한 권한이 있도록 Microsoft Entra 사용자를 설정합니다. 자세한 내용은 Azure DevOps에 대한 청구를 설정할 수 있는 사용자 추가를 참조하세요.

  3. Stakeholder 액세스 수준으로 Microsoft Entra 사용자를 Azure DevOps 조직에 추가한 후, Project Collection Administrators 그룹에 추가하거나 팀 프로젝트에서 서비스 연결을 만들 수 있는 충분한 권한이 있는지 확인합니다.

  4. 새 사용자 자격 증명으로 Azure DevOps 로그인하고 청구를 설정합니다. 목록에 Azure 구독이 하나만 표시됩니다.

• Azure DevOps Services에 캐시된 이전 사용자 토큰: ARM(Azure Resource Manager) 서비스 연결을 만들 때 Azure 구독이 나타나지 않는 경우, 이는 Azure DevOps Services에 캐시된 이전 사용자 토큰 때문일 수 있습니다. Azure 구독의 목록 화면에 사용자 토큰이 오래되었음을 나타내는 오류 또는 경고 메시지가 표시되지 않으므로 이 시나리오는 즉시 명확하지 않습니다. 이 문제를 해결하려면 다음 단계를 수행하여 Azure DevOps Services에서 캐시된 사용자 토큰을 수동으로 업데이트합니다.

  1. Azure DevOps Services에서 로그아웃하고 다시 로그인합니다. 이 작업은 사용자 토큰을 새로 고칠 수 있습니다.
  2. 브라우저 캐시 및 쿠키를 지워서 이전 토큰이 제거되었는지 확인합니다.
  3. Azure DevOps 포털에서 서비스 연결로 이동하고 Azure 연결을 다시 인증합니다. 이 단계에서는 Azure DevOps 새 토큰을 사용하라는 메시지를 표시합니다.

• 잘못된 지원 계정 유형 설정:지원되는 계정 유형 설정을 변경하고 애플리케이션을 사용할 수 있는 사용자를 정의하여 이 문제를 해결합니다. 아래 단계를 수행하세요.

  1. Azure 포털에 로그인합니다.

  2. 여러 테넌트에 액세스할 수 있는 경우 위쪽 메뉴에서 디렉터리 + 구독 필터를 사용하여 애플리케이션을 등록할 테넌트를 선택합니다.

     Azure portal에서 디렉터리 및 구독 아이콘을 보여 주는 스크린샷.

  3. 왼쪽 창에서 Microsoft Entra ID 선택합니다.

  4. 앱 등록 선택합니다.

  5. 등록된 애플리케이션 목록에서 애플리케이션을 선택합니다.

  6. 인증에서 지원되는 계정 유형을 선택합니다.

  7. 지원되는 계정 유형에서 이 애플리케이션을 사용하거나 이 API에 액세스할 수 있는 사람은 누구인가요? 조직 디렉터리에서 계정을 선택합니다.

     

  8. 완료되면 저장을 선택합니다.

서비스 주체 또는 비밀이 만료됨

Azure DevOps 자동으로 생성되는 서비스 주체 또는 비밀은 만료되고 갱신이 필요합니다. 토큰을 새로 고치는 데 문제가 발생하는 경우 액세스 토큰을 가져오지 못했거나 유효한 새로 고침 토큰을 찾을 수 없음을 참조하세요. 비밀을 갱신할 필요가 없도록 워크로드 ID 페더레이션을 Azure Resource Manager 사용합니다.

토큰이 만료되면 다음 오류 메시지 중 하나가 표시될 수 있습니다.

• AADSTS7000215: Invalid client secret is provided
• AADSTS7000222: The provided client secret keys for app '***' are expired
• Invalid client id or client secret

자동으로 생성된 서비스 주체 또는 비밀에 대한 액세스 토큰을 갱신하려면 다음을 수행합니다.

1. Project 설정> 서비스 연결로 이동한 다음 새로 고치려는 서비스 연결을 선택합니다.

2. 비밀 회전을 선택합니다.

   

이제 서비스 주체 또는 비밀에 대한 토큰이 3개월 더 갱신됩니다.

서비스 주체 클라이언트 ID를 사용하여 JWT를 가져오지 못했습니다.

이 문제는 Microsoft Entra ID 수준에서 만료된 비밀 또는 기타 문제가 있는 서비스 연결을 저장하려고 할 때 발생합니다.

이 상태의 서비스 연결은 Project 설정> 서비스 연결 아래에 표시되더라도 파이프라인 작업 드롭다운(예: Azure App Service 배포 또는 Azure PowerShell)에도 표시되지 않을 수 있습니다. 이 문제는 기본 서비스 주체가 삭제되었거나 isReady 연결 false상태가 될 때 발생합니다.

이 문제를 해결하려면:

1. Project 설정> 서비스 연결로 이동한 다음 수정할 서비스 연결을 선택합니다.
2. 편집을 선택한 다음 확인을 선택하여 연결 상태를 확인합니다.
3. "디렉터리에 식별자가 있는 애플리케이션을 찾을 수 없습니다"라는 오류와 함께 AADSTS700016 확인이 실패하면 서비스 주체가 삭제됩니다. 새 서비스 연결을 만들거나 수동 연결을 위해 새 서비스 주체 세부 정보로 연결을 업데이트합니다.
4. 확인에 성공하면 저장 을 선택하여 서비스 연결을 저장합니다.

Azure 구독이 이전 작업 출력에서 전달되지 않음

릴리스 파이프라인에 대해 Azure 구독을 동적으로 설정하고 이전 작업의 출력 변수를 사용하려는 경우 이 문제가 발생할 수 있습니다.

이 문제를 해결하려면 파이프라인의 변수 섹션 내에 값이 정의되어 있는지 확인합니다. 그런 다음 파이프라인의 작업 간에 이 변수를 전달할 수 있습니다.

지원되는 인증 메커니즘은 무엇인가요? 관리 ID는 어떻게 작동합니까?

AuthorizationFailed: The client '<ClientName>' with object id '<ObjectId>' does not have authorization 
to perform action '<ActionName>' over scope '/subscriptions/<SubscriptionId>/...'

Resource not authorized. You need to authorize the resource before it can be used.

I'm getting this Azure DevOps service connection error: [PASTE YOUR ERROR MESSAGE HERE]

Can you help me troubleshoot this issue? Please provide step-by-step instructions to:
1. Identify the root cause
2. Fix the configuration in Azure or Entra ID
3. Verify the solution works

Context: This is for an Azure Resource Manager service connection in Azure DevOps.

관련된 문서

• Azure Resource Manager 워크로드 ID 서비스 연결 문제 해결
• 파이프라인 실행 문제 해결
• 로그를 검토하여 파이프라인 문제 진단
• 모든 문제 해결 가이드 및 FAQ