调用Azure DevOps REST API更新流水线权限，返回204但未生效

核心问题1：Token格式错误 #

你使用的vstfs:///Classification/TeamProject/{project_id}/{pipeline_id}是项目分类节点的ACL令牌，流水线权限的正确令牌格式应为vstfs:///Build/Definition/{project_id}/{pipeline_id}。Classification令牌仅用于团队项目的层级分类（如区域、迭代），和流水线权限完全不相关，这是导致权限未生效的最关键原因。

核心问题2：权限位数值错误 #

你设置的allow:0和deny:1无效——这里的数值不是简单的0/1，而是对应具体权限的位掩码。每个流水线权限都有对应的十进制值，比如：

• 查看构建定义：1
• 编辑构建定义：2
• 删除构建定义：4
• 队列构建：8
• 管理构建权限：32

如果要拒绝Contributors组的“编辑流水线”权限，deny应设为2而非1；若需同时拒绝多个权限，将对应值相加即可（比如拒绝编辑+删除，deny=2+4=6）。

修正后的请求示例 #

permissions_payload = {
  "value": [
    {
      "inheritPermissions": False,
      "token": "vstfs:///Build/Definition/{project_id}/{pipeline_id}",  # 修正token格式
      "acesDictionary": {
        "Microsoft.TeamFoundation.Identity;S-1-9-1551374245-1204400969-2402986413-2179408616-0-0-0-0-1": {
          "descriptor": "Microsoft.TeamFoundation.Identity;S-1-9-1551374245-1204400969-2402986413-2179408616-0-0-0-0-1",
          "principalName": "[{project_name}]\Contributors",
          "allow": 0,
          "deny": 2  # 对应拒绝"编辑构建定义"权限
        }
      }
    }
  ]
}

# 确认API端点指向build的accesscontrolentries
permission_url = "https://dev.azure.com/{org_name}/{project_name}/_apis/accesscontrolentries/build?api-version=7.1-preview.1"

response = requests.post(
    permission_url,
    headers=headers,
    json=permissions_payload,
    verify=False
)

额外验证步骤 #

• 确认API端点：必须使用/_apis/accesscontrolentries/build端点，流水线权限属于Build命名空间，通用ACL端点无法生效。
• 获取权限位对应表：调用GET https://dev.azure.com/{org}/{proj}/_apis/securitynamespaces/build?api-version=7.1-preview.1，可获取所有流水线权限的位掩码值，确保设置的数值匹配目标权限。
• 检查继承优先级：若父级（项目级）存在明确允许规则，需确保inheritPermissions:False已关闭继承，避免层级权限覆盖流水线级设置。

内容的提问来源于stack exchange，提问作者Shashank