Microsoft vai aposentar o issuer do Azure DevOps nas service connections de workload identity federation

Azure DevOps está encerrando o uso do issuer personalizado https://vstoken.dev.azure.com em conexões de autenticação sem segredos baseadas em workload identity federation. Esse issuer foi introduzido em 2024 como ponte para eliminar o uso de secrets em pipelines, mas agora cede espaço ao issuer padronizado do Microsoft Entra, que já domina mais da metade das novas conexões desde novembro de 2025. A mudança não afeta o funcionamento dos pipelines, as tarefas continuam iguais. O que muda é a origem do token OIDC: antes gerado pelo Azure DevOps, agora pelo Microsoft Entra, com credenciais federadas imutáveis e vinculadas diretamente à identidade do Azure.

A transição é gradual. Até julho de 2027, as conexões antigas ainda funcionam, mas recebem avisos visíveis na interface. A migração exige atualização manual ou por script, pois o novo issuer usa um subject diferente e requer permissão para alterar a credencial federada na entidade de identidade no Microsoft Entra. Organizações que dependem de apps multitenant ou nuvens governamentais não são afetadas, mas devem monitorar futuras atualizações da Microsoft para suporte contínuo.

Essa mudança reflete uma estratégia mais ampla da Microsoft de unificar a autenticação de trabalho em nuvem sob o Microsoft Entra, reduzindo complexidade e superfície de ataque. Ao eliminar issuers específicos de serviço, a empresa simplifica a gestão de identidades, melhora a auditoria e facilita a aplicação de políticas de segurança centralizadas. Para equipes de DevOps, isso significa menos variações na configuração de pipelines e maior previsibilidade ao integrar Azure Pipelines com recursos como Key Vault, Storage ou AKS. A migração antecipada evita riscos de interrupção inesperada e garante compatibilidade com futuras restrições de segurança.