我们目前有一个TFS 2012构建服务器，运行用于开发和QA环境的Visual Studio 2013 Release Management。我们希望将自动部署设置为生产，但不希望通过允许构建服务器直接访问生产来打开安全漏洞。
是否应该在生产网络中设置第二个与TFS直接通信的构建服务器，或者DEV/QA的构建服务器是否应该将文件放到"相互"文件共享中，以便由第二个构建服务器提取，或者其他人如何处理这种情况？
您应该为环境之间的通信开辟一条路由。您不可能让两个Release Management服务器同时与同一RM数据库对话——我已经与Microsoft的产品团队多次确认了这一点，如果您这样做，就会发生糟糕的事情。
如果您使用的是基于代理的部署，您所需要的只是通过一个端口的HTTP（S）流量，从目标服务器到Release Management服务器是单向的。目标服务器不需要访问构建丢弃，因为您可以将目标服务器设置为通过HTTP从Release Management服务器接收二进制文件。这是服务器设置下的一个选项。
如果您使用的是vNext部署，则需要打开WinRM，我认为它只是HTTP（S）流量，但通过不同的端口。