如何让Project Collection Build Service账户绕过PR合并策略

1. 确认流水线执行账户身份 #

• 编辑流水线，进入代理作业的「选项」标签，查看「运行方式」字段，确保选择的是Project Collection Build Service Account，而非个人用户账户。
• 若使用自托管代理，检查代理服务的启动账户，必须是构建服务账户（本地服务账户或指定域账户），不能用个人账户启动代理。

2. 修正Create PR任务的认证方式 #

• 在Create PR任务配置中，选择系统认证而非个人访问令牌（PAT），因为PAT会绑定个人账户身份，无法触发绕策略权限。
• 若必须用PAT，需确保该PAT由构建服务账户生成，且包含创建PR、绕过策略的权限。

3. 验证分支策略的绕过配置 #

• 进入仓库master分支的策略设置，找到「权限」选项，明确授予「Project Collection Build Service Account」绕过工作项关联和评审者要求的权限。
• 检查是否存在组织/项目级的权限限制，避免仓库级的Allow权限被更高层级的Deny设置覆盖。

4. 验证PR创建身份 #

• 在流水线中添加PowerShell任务，执行whoami（托管代理）或echo $env:USERNAME（自托管代理），确认实际执行账户为构建服务账户。
• 查看PR页面的「创建者」字段，必须显示为「Project Collection Build Service Account」，若显示个人账户则说明身份上下文错误。

5. 排查权限冲突 #

• 检查构建服务账户是否被加入了带有Deny权限的组，Deny权限会优先覆盖Allow设置，导致绕策略失效。
• 确认「Bypass policies while completing pull requests」权限是在仓库级别配置的，分支策略绕权限需要仓库级授权，仅项目级配置无效。

内容的提问来源于stack exchange，提问作者Dharmi Mehta