使用服务主体调用Azure DevOps REST API报错，求问题排查方案

那个IE增强安全配置的错误提示是误导性的，实际问题出在服务主体的权限配置或token获取环节，以下是具体排查点：

1. 服务主体未在Azure DevOps中授权 #

托管身份能正常工作是因为它已经被赋予了对应Azure DevOps项目的权限，但服务主体需要手动完成授权：

• 登录Azure DevOps组织，进入目标项目ITS PAAS
• 打开项目设置 → 权限 → 服务连接（或直接搜索“服务主体”）
• 将你的服务主体（ClientId对应的应用）添加到项目中，分配至少读者权限（如果要触发流水线需要更高权限，比如构建管理员）

2. Token请求的资源或端点错误 #

你的代码中$Resource用的是https://app.vssps.visualstudio.com，这个是用于Azure DevOps组织级别的API，调用项目级流水线API时，建议使用Azure DevOps的资源ID499b84ac-1321-427f-aa17-267ca6975798（和托管身份代码里的一致），同时更新token请求端点为v2版本：
修改代码中的这几行：

$Resource = "499b84ac-1321-427f-aa17-267ca6975798" # Azure DevOps的资源ID
$RequestAccessTokenUri = "https://login.microsoftonline.com/$TenantId/oauth2/v2.0/token"
$Body = "grant_type=client_credentials&client_id=$ClientId&client_secret=$ClientSecret&scope=$Resource/.default"

注意：v2端点用scope参数替代了v1的resource，格式为{resource-id}/.default

3. 代码中的TenantId变量未正确替换 #

你的代码中$RequestAccessTokenUri里的<<tenantid>>是硬编码的，应该替换为变量$TenantId，否则会请求错误的租户，获取无效token：

$RequestAccessTokenUri = "https://login.microsoftonline.com/$TenantId/oauth2/v2.0/token"

4. 验证Token有效性 #

获取token后，可以调用组织级API验证是否能正常访问，排除权限问题：

$testUrl = "https://dev.azure.com/nandangajananhegde/_apis/connectionData?api-version=7.1-preview.1"
Invoke-RestMethod -Uri $testUrl -Method Get -Headers $headers

如果返回组织信息，说明token有效，再去排查项目级权限；如果返回权限错误，继续检查服务主体的授权配置。

内容的提问来源于stack exchange，提问作者Nandan