无需PAT令牌在Azure Pipelines中克隆其他Azure DevOps组织仓库

针对你的需求，这里有几个无需PAT、OAuth或SPN密钥的可持续方案：

1. Azure AD托管标识（推荐） #

托管标识是Azure自动管理的身份，完全不需要手动维护密钥或令牌，完美契合安全和可持续性要求。

• 步骤概要：
  • 给你的流水线启用系统分配托管标识（或者创建用户分配托管标识并关联到流水线）。
  • 登录目标Azure DevOps组织的项目，在项目设置的“权限”中，添加托管标识对应的Azure AD主体（搜索标识名称即可），授予其仓库读取者或更高权限（按需调整）。
  • 在流水线任务中，先通过Azure CLI获取托管标识的Git访问令牌，再执行克隆：

    # 获取访问令牌
    AZURE_DEVOPS_TOKEN=$(az account get-access-token --resource 499b84ac-1321-427f-aa17-267ca6975798 --query accessToken -o tsv)
    # 克隆仓库
    git clone https://$AZURE_DEVOPS_TOKEN@dev.azure.com/{目标组织}/{目标项目}/_git/{仓库名称}
    

  这个令牌由Azure自动生成和轮换，无需手动干预，有效期足够覆盖流水线执行周期。

2. 配置Azure DevOps组织间的AAD信任 #

如果两个Azure DevOps组织同属或信任同一个Azure AD租户，可以直接通过组织级的信任配置实现访问：

• 在目标Azure DevOps组织的“组织设置”→“安全性”→“外部访问”中，允许源组织所在的AAD租户访问。
• 给源流水线的托管标识（或源组织的服务主体）授予目标仓库的读取权限，后续流水线即可直接通过托管标识身份访问，无需额外令牌配置。

3. 通过Azure Artifacts中转（适用于依赖场景） #

如果你的核心需求是获取仓库内容作为流水线依赖，而非直接克隆仓库，可以将目标仓库配置为Azure Artifacts的上游源：

• 在源组织的Azure Artifacts中创建一个新的Feed，添加目标仓库作为上游源。
• 给托管标识授予该Feed的读取权限，流水线通过Artifacts的身份验证拉取内容，全程无需手动管理任何令牌。

注：以上方案均基于Azure AD身份体系，完全规避了手动维护PAT、SPN密钥的问题，且符合Azure DevOps的安全最佳实践。

内容的提问来源于stack exchange，提问作者user29730454