无法通过服务主体身份验证克隆Azure DevOps仓库

• 使用PAT令牌可正常克隆DevOps仓库：

  git clone https://<>@dev.azure.com/organisation/project/_git/myGitRepo
  

• 尝试通过服务主体克隆时，使用以下PowerShell脚本：

  $resource="499b84ac-1321-427f-aa17-267ca6975798"
  $TenantId=" "
  $ClientId=" "
  $ClientSecret=" "
  $TokenUri = "https://login.microsoftonline.com/$TenantID/oauth2/token/"
  $Body     = "client_id=$ClientId&client_secret=$ClientSecret&resource=$Resource&grant_type=client_credentials"
  
  $TokenResult = Invoke-RestMethod -Uri $TokenUri -Body $Body -Method "POST"
  $AccesToken = $TokenResult.access_token
  
  $URI= "https://$AccesToken@dev.azure.com/organisation/project/_git/myGitRepo"
  git clone $URI
  

• 执行后出现错误：

  remote: TF401019: The Git repository with name or identifier myGitRepo does not exist or you do not have permissions for the operation you are attempting.
  fatal: repository 'https://dev.azure.com/organisation/project/_git/myGitRepo/' not found

备注：该服务主体已被添加为DevOps项目的项目管理员，且在组织级别拥有干系人访问权限。

核心问题：服务主体令牌的使用方式错误 #

Azure DevOps的Git克隆不支持直接把access token像PAT那样放在URL中，必须用OAuth2令牌的标准验证方式传递凭据。

解决方法1：通过Git请求头传递令牌 #

修改脚本，将access token通过http.extraHeader参数传入git命令，这是服务主体令牌的正确使用方式：

$resource="499b84ac-1321-427f-aa17-267ca6975798"
$TenantId="你的租户ID"
$ClientId="你的服务主体客户端ID"
$ClientSecret="你的服务主体密钥"
$TokenUri = "https://login.microsoftonline.com/$TenantID/oauth2/token/"
$Body     = "client_id=$ClientId&client_secret=$ClientSecret&resource=$Resource&grant_type=client_credentials"

$TokenResult = Invoke-RestMethod -Uri $TokenUri -Body $Body -Method "POST"
$AccessToken = $TokenResult.access_token

# 用请求头传递令牌克隆仓库
git -c http.extraHeader="Authorization: Bearer $AccessToken" clone https://dev.azure.com/organisation/project/_git/myGitRepo

解决方法2：借助Azure CLI简化流程（更稳定） #

如果已安装Azure CLI，可自动处理令牌获取和凭据验证，避免手动拼接请求：

# 登录服务主体
az login --service-principal -u $ClientId -p $ClientSecret --tenant $TenantId

# 获取Azure DevOps专用令牌
$AccessToken = az account get-access-token --resource 499b84ac-1321-427f-aa17-267ca6975798 --query accessToken -o tsv

# 克隆仓库
git -c http.extraHeader="Authorization: Bearer $AccessToken" clone https://dev.azure.com/organisation/project/_git/myGitRepo

额外检查项 #

1. 确认脚本中变量拼写正确：比如原脚本中$AccesToken少了一个s，虽不影响当前赋值，但需避免这类拼写错误
2. 验证服务主体权限：在DevOps项目设置→权限→用户中，确认服务主体的项目管理员权限已正确生效
3. 资源ID499b84ac-1321-427f-aa17-267ca6975798是Azure DevOps的固定资源ID，无需修改

内容的提问来源于stack exchange，提问作者Nandan