Azure DevOps自托管Linux代理访问用户目录权限异常排查

问题背景 #

在Azure虚拟机规模集托管的Linux自托管Azure DevOps代理中，以AzDevOps用户运行Pipeline时，执行NuGetCommand@2推送任务和Git工具均触发权限拒绝错误：

• NuGet错误：Access to the path '/home/floodlead-admin/.config/NuGet' is denied.
• Git错误：AccessDeniedException: /home/floodlead-admin/.config/jgit/config

原因说明 #

工具均指向floodlead-admin用户目录的核心原因如下：

• HOME环境变量被错误覆盖：NuGet、Git等工具默认依赖HOME环境变量定位用户配置目录，若AzDevOps用户的HOME被意外设置为/home/floodlead-admin，工具会尝试访问该目录，但AzDevOps用户无对应权限。
• 代理服务启动上下文错误：如果Azure DevOps代理服务是在floodlead-admin用户环境下启动的，后续切换到AzDevOps用户执行任务时，部分环境变量（如HOME）未被正确重置，导致工具仍沿用原用户的目录路径。
• 工具默认读取全局配置：即使NuGet任务指定了nugetConfigPath，NuGet仍会尝试读取HOME目录下的全局配置文件补充配置，若路径指向错误目录则触发权限问题。

解决方法 #

1. 修正AzDevOps用户的HOME环境变量 #

• 登录代理所在Linux虚拟机，切换到AzDevOps用户：su - AzDevOps
• 检查当前HOME变量：echo $HOME，确认是否为/home/AzDevOps
• 若路径错误，编辑用户环境配置文件（如~/.bashrc或~/.profile），添加：

  export HOME=/home/AzDevOps
  

• 执行source ~/.bashrc使配置生效，随后重启Azure DevOps代理服务。

2. 确保代理服务以AzDevOps用户启动 #

• 检查代理的systemd服务配置文件（通常位于/etc/systemd/system/azure-devops-agent.service），确认User字段设置为AzDevOps：

  [Service]
  User=AzDevOps
  ExecStart=/home/AzDevOps/agent/bin/Agent.Service.js
  WorkingDirectory=/home/AzDevOps/agent
  

• 重新加载systemd配置并重启服务：

  sudo systemctl daemon-reload && sudo systemctl restart azure-devops-agent.service
  

3. 为工具指定明确的配置路径 #

• NuGet任务优化：在NuGetCommand@2中添加arguments参数，强制使用指定的配置文件并禁用全局配置读取：

  - task: NuGetCommand@2
    displayName: "Nuget push"
    condition: ne(variables['Build.Reason'], 'PullRequest')
    inputs:
      command: 'push'
      packagesToPush: '$(Build.ArtifactStagingDirectory)/**/*.nupkg;!$(Build.ArtifactStagingDirectory)/**/*.symbols.nupkg'
      nuGetFeedType: 'internal'
      publishVstsFeed: '430cf929-c089-47f8-8cb4-8709a8b0d712/9efe7be0-9127-42ef-b117-5074f23e8f28'
      nugetConfigPath: 'nuget.config'
      arguments: '--configfile $(Build.SourcesDirectory)/nuget.config --no-cache'
  

• Git/JGit路径指定：在Pipeline任务前添加脚本设置Git全局配置路径：

  - script: |
      export GIT_CONFIG_GLOBAL=/home/AzDevOps/.gitconfig
    displayName: "Set Git config path"
  

4. 临时权限修复（应急方案） #

若需快速恢复Pipeline运行，可临时赋予AzDevOps用户访问目标目录的权限（不推荐长期使用，建议优先修复环境变量问题）：

sudo chmod -R 755 /home/floodlead-admin/.config/NuGet /home/floodlead-admin/.config/jgit
sudo chown -R AzDevOps:AzDevOps /home/floodlead-admin/.config/NuGet /home/floodlead-admin/.config/jgit

内容的提问来源于stack exchange，提问作者Rikin Patel