Microsoft Padroniza Emissor de Identidade no Azure DevOps

A federação de identidade de workload, ou WIF, é um pilar de segurança em pipelines de CI/CD modernos. Ela permite que aplicações e serviços autentiquem-se em outros serviços, como recursos do Azure, sem a necessidade de credenciais de longa duração ou segredos armazenados. O segredo aqui é o uso de tokens OIDC (OpenID Connect), que são emitidos por um emissor de identidade confiável e trocados por tokens de acesso. Esta abordagem elimina riscos associados ao vazamento de segredos, um problema comum em ambientes DevOps.

A padronização no emissor Microsoft Entra, com o prefixo https://login.microsoftonline.com/, alinha o Azure DevOps à estratégia de identidade da Microsoft em todo o seu ecossistema. Isso significa que, em vez de depender de um token OIDC gerado especificamente pelo Azure DevOps (com prefixo https://vstoken.dev.azure.com), o fluxo de autenticação passará a usar um token OIDC emitido pelo próprio Microsoft Entra. Essa unificação facilita a gestão de políticas de identidade e acesso, reduzindo a complexidade para equipes de engenharia de plataforma.

A notícia atual detalha a materialização de um plano que vinha sendo noticiado pelo CEVIU. Em junho e julho de 2026, artigos como "Microsoft vai aposentar o issuer do Azure DevOps nas service connections de workload identity federation" (24 de junho de 2026) e "Azure DevOps: Migração de Conexões de Serviço para Emissor Microsoft Entra até 2027" (14 de julho de 2026) já alertavam sobre a descontinuação e a necessidade de migração. A novidade agora são os passos concretos e a visibilidade para essa transição.

Desde 1º de julho de 2026, o emissor Azure DevOps foi formalmente depreciado. A Microsoft implementou avisos visuais nas configurações das service connections e nos logs de pipeline para alertar os usuários sobre a necessidade de ação. Mais importante, a interface agora oferece um botão de "Update" para facilitar a conversão das conexões existentes para o emissor Microsoft Entra, além de guias para criação manual de credenciais federadas. Isso transforma o anúncio inicial em um processo de migração guiado e com suporte.

Para equipes de DevOps e engenharia de plataformas, essa padronização é um ganho em termos de segurança e simplificação operacional. A utilização de tokens emitidos diretamente pelo Microsoft Entra garante um assunto de federação imutável, o que aumenta a confiança de que a credencial federada será usada apenas pela service connection para a qual foi criada. Isso reforça a postura de segurança das pipelines de CI/CD, minimizando a superfície de ataque.

A medida também centraliza a gestão de identidade, permitindo que os administradores de plataforma apliquem políticas de acesso consistentes em um ambiente mais coeso. Evitar a migração antes de 1º de julho de 2027 pode resultar em interrupção de pipelines, gerando retrabalho e atrasos. A ação proativa garante que as operações de entrega contínua permaneçam ininterruptas e seguras.