使用Azure REST API触发管道时PAT权限范围及授权异常问题

PAT范围选择 #

• 若要跨同组织下的多个项目触发管道，必须将PAT设置为组织范围。项目范围的PAT仅对创建时指定的单个项目生效，跨项目调用必然会触发未授权错误。

组织范围PAT触发失败的常见原因 #

即便配置了组织范围的PAT，仍可能因为以下问题导致授权失败：

1. 权限配置不足：
   检查PAT的权限列表，必须勾选Build (Read & execute)权限——这是触发管道的核心权限。如果只授予了只读权限或其他无关权限，跨项目调用时会被拒绝。
2. 请求格式错误：
   确认第二个Function App调用Azure REST API时，是否正确将PAT通过Authorization请求头传递，格式为Basic {PAT的Base64编码值}。编码错误或头字段名称写错都会直接返回未授权。
3. PAT状态异常：
   查看PAT是否已过期，或者在Azure DevOps组织的PAT管理页面中是否被禁用。部分安全策略会自动失效闲置的令牌，即使之前能正常使用。
4. 项目级权限拦截：
   目标项目可能设置了额外的权限限制，比如项目的构建资源组仅允许特定用户/主体访问。需要确认创建PAT的账号在目标项目中拥有队列构建的权限。

内容的提问来源于stack exchange，提问作者CodeMonkey