如何无需模拟用户让外部服务获取Azure DevOps REST API访问权限

你的理解有误，Azure AD服务主体完全可以访问非你所属的Azure DevOps组织资源，只要目标组织的管理员为该服务主体分配了对应权限就行。以下是具体实现步骤：

1. 创建Azure AD服务主体 #

使用Azure CLI执行以下命令创建服务主体，替换占位符为你的实际信息：

az ad sp create-for-rbac --name "YourServicePrincipalName" --role Contributor --scopes /subscriptions/{subscription-id}

执行完成后会返回appId、password（客户端密钥）和tenant（租户ID），务必妥善保存这三个值。

2. 在目标Azure DevOps组织中配置服务主体权限 #

1. 登录目标Azure DevOps组织，进入组织设置 → 权限 → 服务主体
2. 点击添加服务主体，搜索你创建的服务主体名称，选中后完成添加
3. 为服务主体分配匹配需求的权限：比如要操作拉取请求，可授予特定项目的拉取请求参与者权限，或根据需要分配更细粒度的权限，遵循最小权限原则。

3. 获取访问令牌并调用Azure DevOps REST API #

通过Azure AD的令牌端点获取服务主体的访问令牌，示例HTTP请求：

POST https://login.microsoftonline.com/{tenant-id}/oauth2/v2.0/token
Content-Type: application/x-www-form-urlencoded

client_id={appId}&scope=https://dev.azure.com/.default&client_secret={password}&grant_type=client_credentials

拿到返回的access_token后，调用API时在请求头中携带该令牌：

Authorization: Bearer {access_token}

之后就可以正常调用查看拉取请求、添加评论等API接口了。

4. 扩展与后端服务的适配 #

在你的Azure DevOps扩展中配置webhook时，确保触发事件后将组织ID、项目ID、拉取请求ID等必要上下文传递给后端服务，后端服务利用这些参数拼接API请求路径，结合令牌完成操作。

注意事项 #

• 若你的扩展需要支持多个Azure DevOps组织，每个组织的管理员都需要完成上述第二步的服务主体添加与权限配置
• 访问令牌存在过期时间，后端服务需要实现自动刷新逻辑，避免因令牌失效导致API调用失败
• 始终遵循最小权限原则，不要给服务主体授予超出需求的权限

内容的提问来源于stack exchange，提问作者jopotochny