Azure DevOps代理上传工件失败：权限不足与身份关联异常求助

一、查询身份实际权限 #

1. 页面可视化查询 #

进入项目B的工件仓库页面，点击右上角「权限」按钮，在权限列表中搜索报错里的用户ID（a68e4335e-...），直接查看该身份的当前权限配置，确认是否缺失ReadPackages权限。

2. CLI命令精准查询 #

执行Azure DevOps CLI命令获取权限详情：

az devops security permission show --id 2e9eb7ed-3c0a-47d4-87c1-0ffdd275fd87 --subject <报错用户ID> --org <你的组织URL> --project <项目B名称>

其中2e9eb7ed-3c0a-47d4-87c1-0ffdd275fd87是包权限的固定命名空间ID，执行后可得到该身份的完整权限清单。

二、修复身份关联与权限问题 #

1. 手动补全独立身份权限 #

如果项目级构建服务身份与报错的代理身份未同步，直接给报错的用户ID手动添加权限：

• 进入项目B的工件仓库权限页，添加该用户ID，授予ReadPackages和ContributePackages权限，保存后重新运行流水线。

2. 重置项目级构建服务身份 #

1. 确保你拥有组织级「项目集合管理员」权限；
2. 进入项目B的「项目设置」→「权限」→「服务账户」，找到<项目名称> Build Services (<组织名称>)，点击「更多选项」→「删除」；
3. 删除后Azure DevOps会自动重新生成该身份，重新将其添加为仓库协作者，配置对应权限后测试流水线。

3. 检查组织级构建服务权限 #

进入组织设置→「权限」→「服务账户」，找到<组织名称> Build Services，确认它在组织范围内拥有ReadPackages和ContributePackages权限，避免项目级身份继承了组织级的权限限制。

三、额外排查点 #

• 检查流水线服务连接：若使用自定义服务连接，确认其关联的身份是项目B的构建服务，而非其他无关身份；
• 检查仓库权限继承：进入仓库权限页面，确认未关闭权限继承，否则项目级构建服务的权限无法正常应用。

内容的提问来源于stack exchange，提问作者Evelino Bomitali