پایان issuer آژور دواپس در فدراسیون هویت ورکلود
خلاصهٔ کاملتر
مایکروسافت اعلام کرده که issuer آژور دواپس تو سرویسکانکشنهای Workload Identity Federation منسوخ (deprecated) شده و تاریخ بازنشستگیش اول جولای ۲۰۲۷ هست. این همون issuerیه که تو credentialهای فدرال با پیشوند شناخته میشه. تصمیم بخشی از حرکت کلیتر مایکروسافت برای یکسانسازی روی Microsoft Entra issuer (یعنی تو سرویسهاییه که فدراسیون هویت ورکلود رو پیاده کردن.
پسزمینهش اینه که دو سالی میشه آژور دواپس از WIF پشتیبانی میکنه تا احراز هویت بین Azure Pipelines و منابع آژور بدون سکرت انجام بشه — یه جهش امنیتی نسبت به app registrationهای سکرتدار. حالا بهجای توکن OIDC که خود آژور دواپس تولید میکرد، توکن رو Entra تولید میکنه. مایکروسافت میگه از سال گذشته سرویسکانکشنهای جدید با issuer جدید ساخته میشن و امروز بیش از ۵۰٪ کل سرویسکانکشنهای WIF روی Entra نشستن.
تقویم تغییر سه تا نقطه داره: اول جولای ۲۰۲۶ issuer آژور دواپس منسوخ میشه؛ از جولای ۲۰۲۶ تا ژوئن ۲۰۲۷ سرویسکانکشنهای قدیمی تو اجرای پایپلاین و تو UI پیکربندی هشدار نشون میدن؛ و اول جولای ۲۰۲۷ کلاً پشتیبانی تموم میشه. تا اون موقع هیچ پایپلاینی نمیشکنه، ولی مایکروسافت پیشنهاد میکنه تبدیل رو زودتر برنامهریزی کنید.
این بازنشستگی همه رو شامل نمیشه: فقط سرویسکانکشنهای ابر عمومی آژور که از اپلیکیشنهای تکمستأجری Entra یا managed identity استفاده میکنن. سرویسکانکشنهایی که به ابرهای غیرعمومی (مثل Azure Government، Azure China یا Azure Stack) وصلن و اونهایی که اپ چندمستأجری دارن (signInAudience: AzureADMultipleOrgs) فعلاً استثنان و تا وقتی Entra issuer پشتیبانیشون کنه، همون issuer قدیمی براشون کار میکنه.
کار عملی هم سادهست: سرویسکانکشنهایی که هنوز issuer قدیمی دارن بالای فهرست سرویسکانکشنها با یه هشدار نشون داده میشن و با زدن دکمهی Update تبدیل میشن. اگه به خود identity دسترسی ندارید و نمیتونید credential فدرال بسازید، لینک ساخت credential فدرال، issuer و subject رو در اختیارتون میذاره تا دستی پرش کنید.
طبق پرسشوپاسخ خود مایکروسافت، تفاوت issuer یه جزئیات پیادهسازیه که موقع استفادهی معمولی دیده نمیشه: تسکهای پایپلاین همونطور کار میکنن و نیازی به تغییر ندارن. مزیت اضافهی Entra، توکنهاییه که خود Entra امضاشون میکنه و یه subject تغییرناپذیر که تضمین میکنه اون credential فدرال فقط برای همون سرویسکانکشنی استفاده بشه که براش ساخته شده. حین تبدیل هم داونتایم نیست: تا وقتی credential جدید تأیید نشه، پایپلاینها با همون قدیمی کار میکنن.
نکات کلیدی:
- issuer آژور دواپس منسوخ شده و اول جولای ۲۰۲۷ به آخر خط میرسه
- جایگزینش Microsoft Entra issuerه که از نوامبر ۲۰۲۵ پیشفرض سرویسکانکشنهای جدیده و بیش از نصف کانکشنها روش هستن
- ابرهای غیرعمومی و اپهای چندمستأجری فعلاً از این بازنشستگی مستثنان
- تبدیل با دکمهی Update انجام میشه؛ بدون داونتایم و بدون تغییر تو تسکهای پایپلاین
- سود امنیتی اصلی: توکن امضاشده توسط Entra و subject تغییرناپذیر برای هر سرویسکانکشن
