Azure CLI任务报错TF401444：需以租户ID登录浏览器授权

问题核心原因 #

服务主体虽能正常执行Azure资源操作（比如API流水线的AzureCLI任务），但未被授予Azure DevOps项目的流水线管理权限，且该服务主体从未通过浏览器登录过Azure DevOps租户，触发了交互式登录验证要求。

具体解决步骤 #

1. 给服务主体分配Azure DevOps项目权限 #

• 打开Azure DevOps项目，进入项目设置 > 权限 > 用户
• 搜索并添加你的服务主体（名称或服务主体ID）
• 给该服务主体分配流水线管理员（或至少包含“编辑流水线变量”权限的角色）权限，保存设置

2. 禁用服务主体的交互式登录要求（非交互式场景适用） #

通过Azure CLI在有权限的环境执行以下命令，取消服务主体的交互式登录强制：

az ad sp update --id <服务主体ID> --set signInAudience=AzureADMyOrg

注意：执行此命令需要你拥有Azure AD的全局管理员或应用程序管理员权限

3. 替代方案：用PowerShell脚本直接更新流水线变量 #

如果Azure CLI方式仍有问题，可改用Azure DevOps REST API通过PowerShell操作，无需依赖az pipelines命令：

$orgUrl = "https://dev.azure.com/你的组织名"
$projectName = "你的项目名"
$pipelineId = "UI流水线的ID"
$patToken = "你的PAT令牌（需有流水线编辑权限）"
$variableName = "要更新的变量名"
$variableValue = "新的变量值"

# 转换PAT为Base64编码
$base64AuthInfo = [Convert]::ToBase64String([Text.Encoding]::ASCII.GetBytes(":$patToken"))

# 获取流水线当前变量
$variablesUrl = "$orgUrl/$projectName/_apis/pipelines/$pipelineId/variables?api-version=7.1-preview.1"
$currentVariables = Invoke-RestMethod -Uri $variablesUrl -Headers @{Authorization = "Basic $base64AuthInfo"} -Method Get

# 更新目标变量
$currentVariables.variables.$variableName.value = $variableValue

# 提交更新
Invoke-RestMethod -Uri $variablesUrl -Headers @{Authorization = "Basic $base64AuthInfo"} -Method Put -Body ($currentVariables | ConvertTo-Json) -ContentType "application/json"

提示：PAT令牌需勾选“流水线（编辑）”权限，且要妥善保管避免泄露

4. 验证服务主体的Azure DevOps访问权限 #

在本地环境用服务主体登录Azure DevOps CLI，确认操作正常：

az devops login --organization https://dev.azure.com/你的组织名 --service-principal --username <服务主体ID> --password <服务主体密钥> --tenant <租户ID>
az pipelines variable list --project 你的项目名 --pipeline-id UI流水线ID

若此步骤执行成功，说明权限配置无误，重新运行UI流水线即可

内容的提问来源于stack exchange，提问作者Adarsh