AzureCLI@2任务报TF401444错误：指定服务连接仍需登录

数据老陈

2026-7-4

问题描述

使用以下YAML流水线的AzureCLI@2任务创建Azure DevOps拉取请求（PR）：

- task: AzureCLI@2
  inputs:
    azureSubscription: '${{ parameters.serviceConnection }}'
    scriptType: 'ps'
    scriptLocation: 'inlineScript'
    inlineScript: |
      # Set organization, project, and repository details
      $organization="https://dev.azure.com/MyOrg"
      $project="MyProject"
      $repository="MyRepo"
      $targetBranch = "refs/heads/dev"
      $sourceBranch = "refs/heads/feature/myfeature"

      # Set the pull request title and description
      $prTitle="Automated Pull Request"
      $prDescription="Auto-generated pull request for changes."

      # Create a pull request using az repos pr create
      az repos pr create --organization $organization --project $project --repository $repository --source-branch $sourceBranch --target-branch $targetBranch --title "$prTitle" --description "$prDescription"

执行时收到错误：

ERROR: TF401444: Please sign-in at least once...

已确认指定的服务连接存在，但仍出现该错误。

解决方案

确认服务连接类型：azureSubscription参数对应的是Azure资源管理器（ARM）服务连接，仅用于操作Azure云资源；而az repos命令针对的是Azure DevOps仓库，需要使用Azure DevOps专用服务连接（如基于个人访问令牌PAT的服务连接）。若当前服务连接为ARM类型，需替换为Azure DevOps服务连接。
添加Azure DevOps登录步骤：在脚本开头添加登录命令，利用流水线内置令牌完成身份验证：
```
# 使用流水线内置系统令牌登录（需确保流水线服务账户有仓库权限）
az devops login --organization $organization --token $(System.AccessToken)
```
注：需给流水线的服务账户（如Project Collection Build Service (MyOrg)）授予目标仓库的Contributor或更高权限。
检查权限配置：确保服务连接对应的身份（PAT持有者或服务主体）拥有创建PR的权限：
1. 进入Azure DevOps仓库的「设置」→「权限」
2. 添加对应身份，授予「Contributor」角色，确认允许创建拉取请求。

简化命令参数：若流水线在Azure DevOps环境中运行，可省略--organization和--project参数，流水线会自动注入环境变量：

az repos pr create --repository $repository --source-branch $sourceBranch --target-branch $targetBranch --title "$prTitle" --description "$prDescription"

内容的提问来源于stack exchange，提问作者Patrick Martin