无需PAT，从.NET Core应用运行Azure Pipeline的实现咨询

可以实现，但Azure DevOps确实没有原生的**应用权限（Application Permissions）**支持，需要通过服务主体结合特定配置来实现无用户交互的Pipeline触发，以下是具体步骤和排查要点：

一、配置服务主体与Azure DevOps权限 #

• 将Azure AD应用注册对应的服务主体添加到Azure DevOps组织/项目中：服务主体的邮箱格式为{应用ID}@{租户ID}，添加后为其分配构建管理员或项目管理员权限（至少需要触发Pipeline的权限）。
• 在Azure AD应用注册中添加Azure DevOps的委派权限（比如Build.Execute、Build.Read等），并完成管理员同意——这一步是必须的，哪怕用客户端凭据流获取令牌，Azure DevOps仍会校验权限是否被授予。

二、正确获取访问令牌 #

使用客户端凭据流获取令牌时，必须指定Azure DevOps的资源ID（499b84ac-1321-427f-aa17-267ca6975798）作为scope，示例C#代码如下：

using Microsoft.Identity.Client;
using System.Threading.Tasks;

var clientId = "你的应用注册ID";
var clientSecret = "你的应用密钥";
var tenantId = "Azure AD租户ID";
var devOpsResourceId = "499b84ac-1321-427f-aa17-267ca6975798";

var app = ConfidentialClientApplicationBuilder
    .Create(clientId)
    .WithClientSecret(clientSecret)
    .WithAuthority($"https://login.microsoftonline.com/{tenantId}")
    .Build();

var authResult = await app.AcquireTokenForClient(new[] { $"{devOpsResourceId}/.default" })
    .ExecuteAsync();
var accessToken = authResult.AccessToken;

三、调用API触发Pipeline #

使用Azure DevOps REST API发起请求，请求头携带Bearer令牌，示例请求：

请求URL #

POST https://dev.azure.com/{组织名}/{项目名}/_apis/pipelines/{PipelineID}/runs?api-version=7.1-preview.1

请求头 #

Authorization: Bearer {accessToken}
Content-Type: application/json

请求体（按需调整属性） #

{
    "resources": {
        "repositories": {
            "self": {
                "refName": "refs/heads/main"
            }
        }
    },
    "templateParameters": {
        "environment": "production",
        "deployVersion": "v1.0.0"
    }
}

四、未授权问题排查要点 #

• 服务主体未添加到Azure DevOps项目，或权限不足：检查Azure DevOps项目的“项目设置-权限”中是否存在该服务主体，且拥有触发Pipeline的权限。
• 令牌scope错误：确保获取令牌时的scope是499b84ac-1321-427f-aa17-267ca6975798/.default，不能使用其他格式。
• 应用注册权限未完成管理员同意：在Azure AD应用注册的“API权限”页面确认权限状态为“已授予{租户名}管理员同意”。
• API路径或参数错误：核对组织名、项目名、PipelineID是否与实际一致，API版本是否兼容。

内容的提问来源于stack exchange，提问作者Rick