Azure DevOps Pipeline还原失败：用户无ReadPackages权限且ID无法识别

问题现象 #

运行在自托管构建代理上的Azure DevOps Pipeline，NuGet还原步骤失败，报错如下：

NuGet.Protocol.Core.Types.FatalProtocolException: Unable to load the service index for source https://pkgs.dev.azure.com/myOrganisation/_packaging/xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx/nuget/v3/index.json.
---> System.Net.Http.HttpRequestException: Response status code does not indicate success: 403 (Forbidden - User 'xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx' lacks permission to complete this action. You need to have 'ReadPackages'. (DevOps Activity ID: xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx)).

报错中的用户ID是未知GUID，在Azure AD租户和组织用户列表中无法找到，也无法通过CLI命令识别。

已尝试以下方案但未解决：

• 生成带包读取权限的新PAT并注入NuGet.config
• 重新安装构建代理
• 使用Azure托管构建代理
• 将所有可用用户添加为Artifacts源读取者
• 远程桌面到代理机器用VS还原/重建正常
• 运行相关身份查询命令时程序挂起

问题分析 #

报错中的未知GUID，本质是构建代理使用的身份标识：

• 若代理以本地系统账户运行，对应Azure DevOps中的项目集合构建服务(组织名)虚拟账户，这个账户不会出现在普通用户列表中
• 若使用服务主体生成的PAT，GUID就是该服务主体的ID，同样可能不在普通用户搜索结果里

解决步骤 #

1. 配置构建代理身份的Artifacts权限

   • 如果代理用本地系统账户运行：在Azure DevOps组织的Artifacts源权限设置中，添加项目集合构建服务(你的组织名称)，并赋予ReadPackages权限
   • 如果代理用自定义本地账户运行：将该账户对应的Azure AD用户（或机器账户，若未加入域）添加到Artifacts源读取者列表
   • 如果使用服务主体PAT：在组织设置的服务连接中找到对应服务主体，手动添加到Artifacts源权限

2. 优化NuGet身份验证方式
   放弃手动替换NuGet.config占位符的方式，改用Azure DevOps内置的NuGetAuthenticate任务，该任务会自动为Artifacts源配置正确的凭据，避免格式错误或身份不匹配问题

3. 模拟代理运行环境排查
   在代理机器上，切换到代理运行的账户（如本地系统账户可通过psexec工具启动命令行），执行nuget restore命令，复现Pipeline的运行环境，定位是否是身份上下文或本地配置问题

4. 验证PAT权限有效性
   确认PAT的权限范围包含Packaging (Read)，且生成PAT的用户/服务主体已被授予Artifacts源的读取权限

内容的提问来源于stack exchange，提问作者ataraxia