Azure Releases使用联合身份时ACR Artifact认证失败求助

我一直使用Azure Releases，将ACR Docker镜像作为制品输入。近期更新现有发布管道时出现认证错误，问题始于我把Azure Resource Manager类型的服务连接迁移至联合身份（之前用的是clientID和ClientSecret）。这个服务连接是可用的，我在多处用它推送Docker镜像，且服务主体拥有Contributor权限和ACRPush角色。想知道这是bug还是我操作有误？

错误信息 #

Failed to query service connection API: 'https://xxx.azurecr.io/v2/_catalog'. Status Code: 'Unauthorized', Response from server: '{"errors":[{"code":"UNAUTHORIZED","message":"authentication required, visit https://aka.ms/acr/authorization for more information.","detail":[{"Type":"registry","Name":"catalog","Action":"*"}]}]}

可能的原因及解决方法 #

• 权限不匹配：ACRPush角色仅支持镜像的推送和拉取操作，但查询ACR仓库列表（访问/_catalog端点）需要ACRReader或ACRPull角色。你的服务主体当前只有ACRPush和Contributor权限，而Contributor角色在ACR资源上并不包含仓库列表查询的权限，需要为服务主体补充ACRReader或ACRPull角色。
• 联合身份权限范围错误：检查联合身份服务连接的权限作用范围，确保其覆盖目标ACR资源所在的订阅或资源组，避免因范围过宽或未精准定位导致权限未正确生效。
• 管道配置残留问题：确认发布管道中选择的是正确的联合身份服务连接，且在配置ACR制品源时，已启用"使用服务连接认证"的选项，排除旧认证方式的残留配置干扰。
• 缓存凭据过期：Azure DevOps可能缓存了旧的认证信息，尝试重新保存服务连接配置，或手动触发一次管道运行，清除可能存在的缓存凭据。

内容的提问来源于stack exchange，提问作者Michele