如何用PowerShell管理Azure DevOps内置项目组的成员与权限？

一、关于内置组的REST API支持 #

可以通过Azure DevOps Security Groups REST API获取项目内置组（如Contributors、Project Administrators），对应的端点为：

GET https://dev.azure.com/{organization}/{project}/_apis/security/groups?api-version=7.1-preview.2

该接口会返回项目下所有安全组，包含内置系统组和自定义组，无需自行解析安全描述符。

二、优先方案：使用VSTeam模块（满足Bearer Token + PowerShell对象体验） #

你之前使用VSTeam未成功，大概率是配置或命令参数遗漏，以下是完整流程：

1. 模块配置与认证 #

确保安装最新版VSTeam模块（PowerShell Gallery可获取），然后用Bearer Token认证：

# 导入模块
Import-Module VSTeam

# 配置账户（注意：Bearer Token需去掉前缀"Bearer "，仅传token字符串）
Set-VSTeamAccount -Account "你的组织名" -Token "你的BearerToken" -UseBearerToken

2. 获取项目内置组 #

指定项目名称即可筛选出目标组：

# 获取指定项目的所有安全组
$projectGroups = Get-VSTeamSecurityGroup -ProjectName "你的项目名"

# 筛选内置组（如Contributors、Project Administrators）
$contributorsGroup = $projectGroups | Where-Object { $_.DisplayName -eq "Contributors" }
$projAdminsGroup = $projectGroups | Where-Object { $_.DisplayName -eq "Project Administrators" }

3. 读取组成员 #

通过组ID获取成员：

# 获取Contributors组的成员
$contributorsMembers = Get-VSTeamSecurityGroupMember -GroupId $contributorsGroup.Id

4. 修改组成员 #

添加或移除成员（需目标用户的ID，可通过Get-VSTeamUser获取）：

# 获取目标用户ID
$targetUser = Get-VSTeamUser | Where-Object { $_.PrincipalName -eq "user@domain.com" }

# 添加成员到Contributors组
Add-VSTeamSecurityGroupMember -GroupId $contributorsGroup.Id -MemberId $targetUser.Id

# 移除成员
Remove-VSTeamSecurityGroupMember -GroupId $contributorsGroup.Id -MemberId $targetUser.Id

注意事项 #

• 确保Bearer Token拥有项目集合安全管理和项目团队管理权限，流水线中的系统AccessToken默认具备这些权限；
• 若仍无法获取内置组，检查是否指定了正确的-ProjectName参数，未指定时会返回组织级安全组。

三、备选方案：原生PowerShell调用REST API（无模块依赖） #

如果不想依赖VSTeam模块，可直接用Invoke-RestMethod调用REST API，返回结果为结构化对象，无需解析安全描述符：

$org = "你的组织名"
$proj = "你的项目名"
$token = "你的BearerToken"
$headers = @{ Authorization = "Bearer $token" }

# 获取项目内置组
$groups = Invoke-RestMethod -Uri "https://dev.azure.com/$org/$proj/_apis/security/groups?api-version=7.1-preview.2" -Headers $headers -Method Get
$contributorsGroup = $groups.value | Where-Object { $_.displayName -eq "Contributors" }

# 获取组成员
$members = Invoke-RestMethod -Uri "https://dev.azure.com/$org/$proj/_apis/security/groups/$($contributorsGroup.descriptor)/members?api-version=7.1-preview.2" -Headers $headers -Method Get

# 添加成员（需用户descriptor，可通过用户列表接口获取）
$userDescriptor = "用户的descriptor"
Invoke-RestMethod -Uri "https://dev.azure.com/$org/$proj/_apis/security/groups/$($contributorsGroup.descriptor)/members/$userDescriptor?api-version=7.1-preview.2" -Headers $headers -Method Put

四、排除其他工具的原因 #

• PSDevOps：仅支持PAT认证，不符合你的Bearer Token要求；
• az devops CLI：需安装CLI及扩展，依赖较多，且处理成员时仍需手动关联组ID，不如VSTeam的PowerShell对象体验便捷。

内容的提问来源于stack exchange，提问作者Haui77