如何通过Azure DevOps PAT认证使用Azure CLI运行Azure Pipeline？

问题概述 #

通过az login手动登录Azure CLI后，执行az pipelines run可正常触发管道，但使用PAT认证（echo PAT | az devops login --organization="zzzz"）后，执行相同命令始终返回404错误。由于手动登录无法满足自动化需求，需解决PAT认证触发管道的问题。

可行命令 #

az login
az pipelines run --id xx --project "yyyy" --organization "https://dev.azure.com/zzzz"

不可行命令（返回404） #

echo <你的PAT> | az devops login --organization="https://dev.azure.com/zzzz"
az pipelines run --id xx --project "yyyy" --organization "https://dev.azure.com/zzzz"

解决步骤 #

1. 确保PAT拥有正确的权限范围 #

404错误常因PAT权限不足导致，生成PAT时必须勾选以下权限：

• Build: Read & execute
• Project and Team: Read
• Agent Pools: Read（若使用自托管代理）
  生成路径：Azure DevOps组织设置 → 个人访问令牌 → 新建令牌，确保权限覆盖目标项目的构建操作。

2. 修复PAT传递的格式问题 #

管道符传递PAT时可能引入额外换行符，导致认证失效，推荐两种更可靠的传递方式：

方式一：使用环境变量（推荐非交互式场景）

# Linux/macOS
export AZURE_DEVOPS_EXT_PAT=<你的PAT>
# Windows（PowerShell）
$env:AZURE_DEVOPS_EXT_PAT="<你的PAT>"

# 直接执行管道命令，无需额外登录步骤
az pipelines run --id xx --project "yyyy" --organization "https://dev.azure.com/zzzz"

方式二：使用echo -n避免换行符

echo -n "<你的PAT>" | az devops login --organization="https://dev.azure.com/zzzz"
az pipelines run --id xx --project "yyyy" --organization "https://dev.azure.com/zzzz"

3. 验证组织与项目参数的准确性 #

• 确认--organization参数使用完整URL（如https://dev.azure.com/zzzz，而非仅zzzz）
• 验证项目名称/ID是否正确，可通过以下命令列出组织内所有项目：

  az devops project list --organization "https://dev.azure.com/zzzz"
  

4. 更新Azure CLI及DevOps扩展 #

过时的工具可能存在兼容性问题，执行以下命令更新到最新版本：

az upgrade
az extension update --name azure-devops

内容的提问来源于stack exchange，提问作者Meowzer