Project Collection Build Service Account更新工作项遇权限问题，能否实现？

之前用个人令牌通过REST API更新工作项已达一年，今年改用流水线内置的System.AccessToken，该令牌能正常调用其他API，但更新工作项时触发以下错误：

"You don't have bypass rules permission. Please contact your collection administrator to grant this permission for enabling this action."

已为Project Collection Build Service Account配置以下权限：

• Edit Work Items in this Node（项目设置/项目配置/根区域路径下）
• Bypass rules on work item updates（组织设置中配置后，将其加入对应项目的生成管理员组并赋予相同权限）

权限配置后问题仍存在，仅尝试更新工作项状态，现咨询：Project Collection Build Service Accounts 是否能够更新工作项？

补充YAML脚本 #

trigger:
- main

pool: 'Default'

steps:
- task: PowerShell@2
  env:
    SYSTEM_ACCESSTOKEN: $(System.AccessToken)
  inputs:
    targetType: 'inline'
    script: |
        # Define variables
        $PersonalAccessToken = [System.Environment]::GetEnvironmentVariable("SYSTEM_ACCESSTOKEN")
        $ApiUrl = "$(System.CollectionUri)/_apis/wit/workitems/415682?bypassRules=true&api-version=6.0"

        $wiBodyTemplate = "[{`"op`": `"add`",`"path`": `"/fields/System.State`",`"value`": `"Ready for QA`"}]"
        $Base64AuthInfo = [Convert]::ToBase64String([Text.Encoding]::ASCII.GetBytes(":$($PersonalAccessToken)"))

        # Send the PATCH request
        $response = Invoke-RestMethod -Method Patch -contentType 'application/json-patch+json' -Body $wiBodyTemplate -Headers @{Authorization = "Basic $Base64AuthInfo"} -uri $ApiUrl 

        # Output the response
        $response | Format-Table -AutoSize
        $response | ConvertTo-Json

Project Collection Build Service Account 完全可以更新工作项，问题出在权限配置细节和API调用参数上，以下是具体排查和解决步骤：

1. 确认权限配置的正确对象

   • 组织级别：需找到Project Collection Build Service ({你的组织名})账号，在组织设置→权限中勾选Bypass rules on work item updates，注意不要混淆成项目级的Build Service账号
   • 项目级别：在项目设置→权限→区域路径→根节点，给Project Collection Build Service ({你的组织名})和Build Service ({你的项目名})都分配Edit Work Items in this Node权限——流水线默认使用的是项目级Build Service账号，而非集合级账号

2. 调整API调用参数

   • 若更新工作项状态是遵循默认工作流规则（不需要绕过规则），直接去掉URL中的bypassRules=true参数，避免触发不必要的权限检查
   • 若确实需要绕过规则，必须确保当前使用的服务账号（项目/集合级）已正确配置Bypass rules on work item updates权限

3. 优化脚本与权限验证

   • 简化令牌读取逻辑，直接使用流水线变量：

     $PersonalAccessToken = "$(System.AccessToken)"
     

   • 验证流水线权限：在流水线编辑页右上角点击「...」→「管道权限」，确认工作项的权限设置为「允许」

内容的提问来源于stack exchange，提问作者Kevin