Azure DevOps组织级权限限制下跨项目访问npm源问题求助

组织已启用「将作业授权范围限制为当前项目（针对非发布流水线）」及发布流水线的同名权限限制设置。现有一个项目的流水线需要访问另一个项目中的npm源，尝试通过npm服务连接和PAT实现跨项目访问但未成功，询问是否存在可行解决方案，或组织级设置是否会阻止所有尝试。

pool:
  vmImage: ubuntu-latest

steps:
- task: NodeTool@0
  inputs:
    versionSpec: '18.x'
  displayName: 'Install Node.js'

- task: npmAuthenticate@0
  inputs:
    workingFile: 'my_configuration_file_for_node_package_manager'
    customEndpoint: 'Name_of_my_service_connection'

- script: |
    # Fail this step if any of the scripts fail
    set -e
    # Run npm scripts
    npm install
    npm run lint
    npm run test:ci
    npm run build
  displayName: 'npm install, lint, test and build'

2024-06-06T13:35:21.1839639Z ##[section]Starting: npmAuthenticate
2024-06-06T13:35:21.1844933Z ==============================================================================
2024-06-06T13:35:21.1845088Z Task         : npm authenticate (for task runners)
2024-06-06T13:35:21.1845208Z Description  : Don't use this task if you're also using the npm task. Provides npm credentials to an .npmrc file in your repository for the scope of the build. This enables npm task runners like gulp and Grunt to authenticate with private registries.
2024-06-06T13:35:21.1845491Z Version      : 0.238.2
2024-06-06T13:35:21.1845563Z Author       : Microsoft Corporation
2024-06-06T13:35:21.1845650Z Help         : <a href="https://docs.microsoft.com/azure/devops/pipelines/tasks/package/npm-authenticate" rel="nofollow noreferrer">https://docs.microsoft.com/azure/devops/pipelines/tasks/package/npm-authenticate</a>
2024-06-06T13:35:21.1845803Z ==============================================================================
2024-06-06T13:35:21.7016864Z ##[error]Error: The .npmrc file you selected at /home/vsts/work/1/s/source-repo/.npmrc does not currently exist.
2024-06-06T13:35:21.7053999Z ##[section]Finishing: npmAuthenticate

已附上.npmrc文件的截图内容。

先解决当前的文件不存在错误 #

• 检查npmAuthenticate@0任务中workingFile的路径是否正确：错误提示文件在指定路径不存在，说明你填写的my_configuration_file_for_node_package_manager不是实际的.npmrc文件名或路径。如果文件在仓库根目录，直接填写.npmrc即可；如果在子目录，需填写相对路径（如./config/.npmrc）。

跨项目访问npm源的可行方案 #

在组织启用了作业授权范围限制的前提下，有以下几种可行途径：

1. 针对单个流水线取消授权范围限制 #

• 进入流水线编辑页面，点击右上角的「...」→「流水线设置」。
• 在「作业授权范围」区域，勾选「覆盖组织设置」，然后选择「不限制作业授权范围」。
• 保存设置后，该流水线即可突破项目限制，访问其他项目的资源（包括npm源）。此操作需要组织管理员权限。

2. 配置具备跨项目权限的服务连接 #

• 创建组织级npm服务连接：在组织设置的「服务连接」中新建npm服务连接，指向目标项目的npm源地址，使用拥有目标项目npm源读取权限的PAT或服务主体。
• 授予当前项目流水线使用该服务连接的权限：在服务连接的权限设置中，添加当前项目的流水线服务账户，授予「使用」权限。
• 确保.npmrc文件中registry地址正确指向目标项目的npm源，格式为：

  registry=https://pkgs.dev.azure.com/{组织名}/{目标项目名}/_packaging/{feed名}/npm/registry/
  

3. 给目标项目的npm源授予跨项目访问权限 #

• 进入目标项目的「工件」→「npm源」→「设置」→「权限」。
• 添加当前项目的流水线服务账户（格式为{组织名}\{项目名} Build Service ({组织名})），授予「读者」权限。
• 确保当前流水线使用的npm服务连接关联的凭证拥有足够权限访问该源。

内容的提问来源于stack exchange，提问作者My ADO Obsession