Azure DevOps: Migração de Conexões de Serviço para Emissor Microsoft Entra até 2027

A migração das Service Connections do Azure DevOps para o emissor Microsoft Entra é um movimento estratégico da Microsoft para consolidar e padronizar a segurança da federação de identidade de carga de trabalho. Este mecanismo permite que pipelines autentiquem no Azure sem credenciais de longo prazo, usando tokens de curta duração. A confiança é ancorada por uma Credencial Federada em um App Registration, que por sua vez, depende de um emissor para cunhar o token. A padronização no emissor https://login.microsoftonline.com do Microsoft Entra substitui o antigo https://vstoken.dev.azure.com, buscando maior segurança e interoperabilidade.

Para equipes com muitas Service Connections, a abordagem manual não é escalável. A Microsoft disponibiliza uma migração programática, que envolve a criação prévia de credenciais federadas no Microsoft Entra e, em seguida, a invocação de uma operação de migração via REST API, que o portal do Azure DevOps executa nos bastidores. É importante notar que aplicações multi-tenant e em nuvens soberanas estão fora do escopo desta migração, pois o novo emissor Entra possui um sujeito com escopo de tenant, que não suporta o mesmo tipo de acesso entre tenants que o emissor antigo permitia.

A CEVIU News já havia antecipado esta mudança em 24 de junho de 2026, com a notícia de que a Microsoft aposentaria o emissor do Azure DevOps para service connections de workload identity federation. Naquela ocasião, mencionamos que o emissor Microsoft Entra já respondia por mais de 50% das conexões. Agora, a grande novidade é o detalhamento da estratégia de migração programática, oferecendo um caminho claro e automatizado para que as equipes de DevOps possam realizar a transição em massa. O artigo também reforça que desde novembro de 2025, novas conexões já utilizam o emissor Entra, o que indica uma adoção contínua e progressiva da nova abordagem.

A migração para o emissor Microsoft Entra é crucial por diversos motivos. Primeiro, aumenta a segurança dos pipelines de CI/CD ao adotar um modelo de autenticação secretless, eliminando a necessidade de gerenciar segredos de Service Principals. Isso reduz a superfície de ataque e o risco de vazamento de credenciais. Segundo, alinha o Azure DevOps com a estratégia mais ampla da Microsoft de padronizar a gestão de identidades de carga de trabalho, simplificando a arquitetura de segurança para plataformas DevOps. Terceiro, a abordagem programática garante que grandes organizações possam realizar a transição de forma eficiente, minimizando interrupções e garantindo a continuidade operacional de seus projetos.