使用Azure Logic App在Azure DevOps创建仓库遇权限及重定向错误求助

问题场景 #

1. 使用Logic App的HTTP操作创建Azure DevOps代码仓库时，出现「Redirect」错误。
2. 改用Send HTTPS request to DevOps操作时，收到权限错误：

   TF400813: The user 'aaaaaaaa-aaaa-aaaa-aaaa-aaaaaaaaaaaa' is not authorized to access this resource.
   Azure DevOps ActivityId: defa4b32-2d1f-4a98-ab6d-a724e20b1a63
   Details: {"$id":"1","innerException":null,"message":"TF400813: The user 'aaaaaaaa-aaaa-aaaa-aaaa-aaaaaaaaaaaa' is not authorized to access this resource.","typeName":"Microsoft.TeamFoundation.Framework.Server.UnauthorizedRequestException"}

错误分析 #

• Redirect错误：HTTP操作未自动处理Azure DevOps的3xx重定向，或请求URL格式不正确（如使用HTTP而非HTTPS、路径参数缺失）。
• TF400813权限错误：Logic App执行操作时使用的身份（错误信息中的GUID用户）未被授予Azure DevOps项目的仓库创建权限。

排查与解决步骤 #

一、解决权限错误（优先处理） #

1. 确认Logic App使用的身份

   • 如果是系统托管标识：在Logic App的「身份」设置中，复制托管标识的客户端ID或名称。
   • 如果是用户托管标识/服务主体：在Azure AD中找到对应的标识，记录其应用ID或显示名。

2. 在Azure DevOps中配置权限

   • 进入目标DevOps项目，点击「项目设置」→「权限」→「用户」。
   • 搜索上述身份（托管标识直接搜名称，服务主体搜应用ID），将其添加到项目用户列表。
   • 为该身份分配权限：至少需要「代码」权限下的「创建仓库」允许权限，或直接分配「项目管理员」角色（按需选择最小权限）。

3. 验证权限

   • 使用该身份调用DevOps创建仓库的API，确认权限生效。

二、解决HTTP操作的Redirect错误 #

1. 修正请求URL
   使用标准HTTPS格式的API地址：

   https://dev.azure.com/{组织名}/{项目名}/_apis/git/repositories?api-version=7.1-preview.1
   

2. 开启跟随重定向
   在Logic App的HTTP操作设置中，找到「跟随重定向」选项并启用（默认可能关闭）。

3. 配置正确的请求参数

   • 请求方法选择POST。
   • 请求体使用JSON格式，包含必填字段：

     {
       "name": "新仓库名称",
       "project": {
         "id": "目标项目的GUID"
       }
     }
     

4. 配置身份验证

   • 若使用托管标识：在HTTP操作的「身份验证」中选择「托管标识」，资源填写https://dev.azure.com/。
   • 若使用PAT：在请求头添加Authorization: Basic {base64编码的PAT}（PAT需勾选repo权限）。

内容的提问来源于stack exchange，提问作者Vardhan Reddy