Azure DevOps Pipeline获取变量组时间歇性权限/项目不存在错误

我的Azure DevOps Pipeline包含以下代码：

- task: PowerShell@2
  inputs:
    targetType: 'inline'
    script: |
      echo $(System.AccessToken) | az devops login
  displayName: 'Powershell DevOps Login with Access token'

- task: PowerShell@2
  displayName: 'Swapping token from vargroup'
  inputs:
    targetType: 'inline'
    script: |
      import-module $(Build.SourcesDirectory)/$(Essential.PowerShell.Script.Location)/az-replace-tokens.ps1
      $varGroup = az pipelines variable-group show --org $(System.CollectionUri) --project $(System.TeamProject) --group-id ${{parameters.VariableGroupId}} | ConvertFrom-Json

其中最后一行间歇性报错：

The project with id
'vstfs:///Classification/TeamProject/MY-PROJECT-GUID' does not exist,
or you do not have permission to access it

我已尝试以下方案但未解决问题：

• 参考Stack Overflow回答，检查组织和项目级别的“Limit job authorization scope to current project for non-release pipelines”设置，均设为Off，但项目级设置因权限显示为禁用，无法确认状态；
• 通过“pipeline > triggers > variables”将变量组添加至流水线；
• 将用户<Project Name> Build Service (organisation)添加至流水线权限中，但不确定所需权限；
• 将上述用户添加为变量组管理员（通过variable group > security）。

现寻求该间歇性错误的解决方案。

可能的解决方案 #

• 修正项目参数格式：$(System.TeamProject)在部分场景下会返回带vstfs前缀的URI格式，而az devops命令更适配纯项目ID（GUID）或项目名称。建议将--project参数替换为$(System.TeamProjectId)（该变量直接返回纯GUID），避免格式解析问题。

• 显式设置az devops上下文：登录后添加上下文配置命令，确保后续az命令使用正确的组织和项目，避免参数传递异常：

  echo $(System.AccessToken) | az devops login
  # 显式设置默认组织和项目
  az devops configure --defaults organization=$(System.CollectionUri) project=$(System.TeamProjectId)
  

• 细化Build Service账号权限：

  • 确保<Project Name> Build Service (organisation)账号拥有项目级“查看项目信息”权限（项目设置→权限→找到该账号，将“查看项目信息”设为允许）；
  • 变量组权限无需设为管理员，仅需给该账号添加读取权限即可（变量组→安全→添加账号，授予读取权限）。

• 处理跨项目变量组（若有）：如果变量组来自其他项目，需确保：

  • 源项目的变量组开启了“允许所有管道访问”选项；
  • Build Service账号有权限访问源项目的变量组。

• 添加重试逻辑应对临时波动：间歇性错误可能源于服务临时延迟，给az命令添加重试机制：

  $retryCount = 3
  $success = $false
  do {
      try {
          $varGroup = az pipelines variable-group show --org $(System.CollectionUri) --project $(System.TeamProjectId) --group-id ${{parameters.VariableGroupId}} | ConvertFrom-Json
          $success = $true
      } catch {
          Write-Warning "获取变量组失败，剩余重试次数: $retryCount"
          $retryCount--
          Start-Sleep -Seconds 5
      }
  } while (-not $success -and $retryCount -gt 0)
  if (-not $success) { throw "多次重试后仍无法获取变量组" }
  

内容的提问来源于stack exchange，提问作者imran chowdhury