使用az devops security group create创建Azure DevOps安全组时遇Error 500

尝试使用az devops security group create命令将Azure AD组添加到Azure DevOps时，遇到500状态码错误。

已尝试的命令：

1. 使用项目集合有效用户的命令：

az devops security group create --origin-id 'object ID from AD' --groups 'vssgp.wwwwww' --scope organization --org 'https://dev.azure.com/my-org/'

2. 使用自定义组名的命令：

az devops security group create --origin-id 'object ID from AD' --groups 'vssgp.devlopergrp' --scope "organization" --org 'https://dev.azure.com/my-org/'

结果：操作返回500状态码。

补充信息：该AD组是首次添加到Azure DevOps，无描述符。

已验证的内容：

• AD中的Object ID正确
• Azure DevOps CLI已通过身份验证，其他命令可正常运行
• 组织URL有效
• 项目集合有效用户的描述符正确
• 拥有Azure DevOps项目集合管理员权限

请问该问题的原因是什么，如何成功创建该组？

可能原因 #

1. 参数使用错误：--groups参数用于指定父组的描述符，而非自定义组名。第二个命令中用vssgp.devlopergrp作为该参数值，属于无效输入，会触发服务端异常。
2. AD与DevOps同步延迟：即使Object ID正确，Azure AD与Azure DevOps的自动同步可能存在延迟，导致DevOps未识别到目标AD组。
3. CLI版本缺陷：旧版本Azure DevOps CLI可能存在已知bug，导致执行该命令返回500错误。

解决步骤 #

1. 修正命令参数：
   确保--groups参数传入有效的父组描述符（比如你已验证正确的项目集合有效用户描述符vssgp.wwwwww），不要用自定义组名填充该参数。正确命令示例：

   az devops security group create --origin-id '你的AD组Object ID' --groups 'vssgp.wwwwww' --scope organization --org 'https://dev.azure.com/my-org/'
   

2. 等待或触发同步：
   • 等待15-30分钟，让Azure AD与Azure DevOps完成自动同步。
   • 若等待无效，可在Azure DevOps门户手动触发同步：进入组织设置→标识→点击「刷新」按钮（若有），或重新关联Azure AD租户。
3. 更新CLI版本：
   执行命令更新Azure DevOps CLI到最新版本，修复潜在bug：

   az upgrade
   

   更新完成后重新尝试创建命令。
4. 门户操作验证：
   先在Azure DevOps门户手动添加AD组：进入组织设置→权限→组→添加组→搜索并选择目标AD组。
   • 若门户操作成功，再回到CLI尝试命令，排除CLI本身问题；
   • 若门户也失败，检查AD组状态（是否启用、是否被限制访问等）。
5. 检查AD组状态：
   确认Azure AD中的目标组处于启用状态，无删除、限制访问等异常；同时检查组内成员数量是否过多（极端情况可能触发服务端异常）。

内容的提问来源于stack exchange，提问作者Nyamat Allah Noorahmad Momin