PowerShell客户端凭证流调用Azure DevOps REST API报错AADSTS500011求助

我正在开展DevOps自动化项目，需通过OAuth 2.0客户端凭证流对Azure DevOps REST API进行身份认证，具体目标为：

• 通过客户端凭证流获取Bearer Token
• 使用该Token认证并调用列出项目等REST API接口

以下是我编写的PowerShell脚本：

$tenantId = "xxxxxxxx"
$clientId = "xxxxxxxx"
$clientSecret = "xxxxxxxx"
$scope = "https://dev.azure.com/.default" 
$tokenUrl = "https://login.microsoftonline.com/$tenantId/oauth2/v2.0/token"

$body = @{
    client_id     = $clientId
    client_secret = $clientSecret
    scope         = $scope
    grant_type    = "client_credentials"
}

$response = Invoke-RestMethod -Uri $tokenUrl -Method Post -ContentType "application/x-www-form-urlencoded" -Body $body

$accessToken = $response.access_token

$apiUrl = "https://dev.azure.com/{organization}/_apis/projects?api-version=7.1"
$headers = @{
    "Authorization" = "Bearer $accessToken"
}

$apiResponse = Invoke-RestMethod -Uri $apiUrl -Headers $headers -Method Get

$apiResponse

运行脚本时出现如下错误：

Invoke-RestMethod : {"error":"invalid_resource","error_description":"AADSTS500011: The resource principal named https://dev.azure.com was not found in the tenant named Contoso. 
This can happen if the application has not been installed by the administrator of the tenant or consented to by any user in the tenant. You might have sent your authentication 
request to the wrong tenant. Trace ID: 49b4c197-620b-4384-b2da-4eafc8771300 Correlation ID: b8253a59-0487-499f-8072-b4299a6186e5 Timestamp: 2024-11-22 
10:55:21Z","error_codes":[500011],"timestamp":"2024-11-22 10:55:21Z","trace_id":"49b4c197-620b-4384-b2da-4eafc8771300","correlation_id":"b8253a59-0487-499f-8072-b4299a6186e5","error_uri":"https://login.microsoftonline.com/error?code=500011"}
At line:14 char:13

错误原因 #

1. 资源标识符错误：Azure DevOps的OAuth 2.0资源主体并非https://dev.azure.com，而是固定的服务主体ID 499b84ac-1321-427f-aa17-267ca6975798，或旧版资源URI https://app.vssps.visualstudio.com/。使用错误的资源地址会导致AAD无法识别目标服务。
2. 应用权限未配置/未授权：即使资源标识符正确，你的AAD应用注册也需要被授予Azure DevOps的应用权限，且必须由租户管理员完成「管理员同意」，否则无法获取有效Token。

修复步骤 #

1. 修正Scope参数 #

将脚本中的$scope替换为Azure DevOps的正确资源标识符：

# 推荐使用固定服务主体ID（更稳定）
$scope = "499b84ac-1321-427f-aa17-267ca6975798/.default"
# 或使用旧版资源URI（兼容旧场景）
# $scope = "https://app.vssps.visualstudio.com/.default"

注意：/.default后缀是客户端凭证流的必填项，代表使用应用注册中配置的所有静态权限。

2. 配置AAD应用注册的Azure DevOps权限 #

• 登录Azure门户，找到你的应用注册
• 进入「API权限」页面，点击「添加权限」
• 选择「我的组织使用的API」，搜索Azure DevOps或直接输入服务主体ID 499b84ac-1321-427f-aa17-267ca6975798
• 选择「应用权限」，根据需求添加对应权限（例如Project.Read.All用于读取项目列表）
• 点击「授予管理员同意」，确保权限生效

3. 验证脚本中的关键参数 #

• 确认$tenantId是与Azure DevOps组织关联的Azure AD租户ID
• 将$apiUrl中的{organization}替换为你的实际Azure DevOps组织名称

修正后的完整脚本 #

$tenantId = "xxxxxxxx"
$clientId = "xxxxxxxx"
$clientSecret = "xxxxxxxx"
$scope = "499b84ac-1321-427f-aa17-267ca6975798/.default" 
$tokenUrl = "https://login.microsoftonline.com/$tenantId/oauth2/v2.0/token"

$body = @{
    client_id     = $clientId
    client_secret = $clientSecret
    scope         = $scope
    grant_type    = "client_credentials"
}

$response = Invoke-RestMethod -Uri $tokenUrl -Method Post -ContentType "application/x-www-form-urlencoded" -Body $body

$accessToken = $response.access_token

# 替换为你的实际组织名称
$apiUrl = "https://dev.azure.com/MyOrgName/_apis/projects?api-version=7.1"
$headers = @{
    "Authorization" = "Bearer $accessToken"
}

$apiResponse = Invoke-RestMethod -Uri $apiUrl -Headers $headers -Method Get

$apiResponse

客户端凭证流调用Azure DevOps API的额外要求 #

• 必须使用应用权限（而非委派权限）：客户端凭证流是无用户的身份认证模式，不支持用户上下文的委派权限
• 必须完成管理员同意：应用权限需要租户管理员手动授权，普通用户无法同意
• Azure DevOps组织需关联Azure AD：你的组织必须已启用Azure AD身份验证，否则无法通过AAD凭证流认证
• 权限需匹配API操作：调用不同的API接口需要对应权限，例如创建项目需Project.Create，读取工作项需WorkItem.Read.All等

内容的提问来源于stack exchange，提问作者jenny