Azure DevOps：如何为用户分配创建ServiceHooks的特定权限？

一、先解决Project Admin执行权限查询命令的Access Denied问题 #

你遇到的View Subscriptions权限缺失报错，可通过以下方式修复：

1. 补充PAT权限：项目管理员的角色权限不足以操作安全配置，需重新生成PAT并勾选Security (Read, Write)权限，再执行命令。
2. 使用正确的Token格式：仓库对应的权限Token必须为repoV2/{ProjectID}/{RepoID}格式，而非仓库名称。可通过以下命令获取项目和仓库ID：

   az repos show --name <你的仓库名> --project <你的项目名> --query "[id, project.id]"
   

3. 尝试项目级Token测试：若仓库级查询仍报错，先用项目级Tokenvstfs:///Classification/TeamProject/{ProjectID}执行查询，确认项目级权限设置正常。

二、为普通用户组分配创建Service Hooks的特定权限 #

你提到的命名空间ID cb594ebe-87dd-4fc9-ac2c-6a10a4c92046 是正确的（Service Hooks专属命名空间），只需为目标用户组分配该命名空间下的特定权限即可：

1. 核心权限配置：
   使用Azure DevOps CLI执行权限更新命令，为用户组同时添加Create subscriptions（权限位2）和View subscriptions（权限位1）权限（避免后续查看权限缺失）：

   az devops security permission update \
     --id cb594ebe-87dd-4fc9-ac2c-6a10a4c92046 \
     --subject <目标用户组ID> \
     --token <仓库级或项目级Token> \
     --allow-bit 3
   

   • 单个仓库配置用仓库级Token；项目内所有仓库生效用项目级Token。
2. 权限验证：
   执行以下命令确认权限已成功分配：

   az devops security permission show \
     --id cb594ebe-87dd-4fc9-ac2c-6a10a4c92046 \
     --subject <目标用户组ID> \
     --token <对应Token>
   

3. 用户侧验证：
   让目标用户用自身已具备Code读写、Service Connection管理权限的PAT，尝试创建Service Hooks，确认流程正常。

内容的提问来源于stack exchange，提问作者Hedda D Asperheim