Azure DevOps Library权限误改求助：无法操作已禁用继承的变量组

当变量组禁用权限继承且自身权限被误设为Reader导致无法修改时，可通过以下方法恢复权限：

方法1：使用Azure DevOps CLI重置权限 #

1. 安装并登录Azure DevOps CLI：

   az login
   az devops login
   

2. 执行权限更新命令，为目标用户添加Administrator权限：

   az devops security permission update \
     --id "5845598d-4bf0-4d6b-9d36-372aaa784a9b" \
     --subject "你的用户邮箱或用户ID" \
     --token "vstfs:///Library/VariableGroup/{变量组ID}" \
     --allow-bit 32 \
     --org https://dev.azure.com/你的组织名 \
     --project 你的项目名
   

   • 说明：5845598d-4bf0-4d6b-9d36-372aaa784a9b是变量组的固定安全命名空间ID；allow-bit 32对应Administrator权限；变量组ID可从变量组页面URL中获取（如variableGroupId=123中的123）。

3. 若不确定变量组令牌，可先执行以下命令列出所有变量组权限条目，找到目标变量组对应的令牌：

   az devops security permission list \
     --id "5845598d-4bf0-4d6b-9d36-372aaa784a9b" \
     --org https://dev.azure.com/你的组织名 \
     --project 你的项目名
   

方法2：通过Azure DevOps REST API修改权限 #

1. 构造POST请求到权限API端点：

   POST https://dev.azure.com/{organization}/{project}/_apis/security/permissions?api-version=7.1-preview.2
   

2. 请求体示例（替换占位符为实际信息）：

   {
     "token": "vstfs:///Library/VariableGroup/{变量组ID}",
     "merge": true,
     "accessControlEntries": [
       {
         "descriptor": "用户描述符（可通过用户信息API获取）",
         "allow": 32,
         "deny": 0,
         "extendedInfo": {}
       }
     ]
   }
   

   • 用户描述符可通过GET https://dev.azure.com/{organization}/_apis/graph/users?api-version=7.1-preview.1接口获取目标用户的descriptor字段。

方法3：联系Azure DevOps官方支持 #

若上述方法无法操作，直接提交Azure DevOps支持工单，提供组织名称、项目名称、变量组ID及问题描述，请求官方协助重置权限。

注意：操作CLI或API时，需确保使用的账号具备Azure DevOps组织级管理员权限，或拥有安全设置的操作权限。

内容的提问来源于stack exchange，提问作者Tamilselvan