启用YAML仓库保护时，Terraform部署Azure DevOps分支策略遇权限问题

背景 #

• 使用Terraform通过YAML流水线，借助azuredevops provider在Azure DevOps中部署分支策略
• 为Terraform提供了流水线的$(System.AccessToken)
• 项目中已启用Protect access to repositories in YAML pipelines设置

问题描述 #

Terraform执行Apply操作时触发权限错误：

Error creating policy in Azure DevOps: TF401027: You need the Git 'EditPolicies' permission to perform this action. Details: identity 'Build{guid}', scope 'Project'.
其中{guid}为构建服务的ID（已在权限UI中确认）

已尝试操作 #

• 为构建服务（错误中的guid）分配仓库的“Edit Policies”权限
• 明确配置目标仓库：
  • 在流水线YAML的resources:中定义repository资源：

resources:
    repositories:
    - repository: {repo id}
      type: git
      name: {repo name}

• 在流水线代理作业中显式uses上述仓库资源：

- job: Deploy
      uses:
        repositories:
          - {repo id}

请问无需禁用Protect access to repositories in YAML pipelines设置，还需配置什么来为流水线中的Terraform提供足够的“Edit Policies”权限？

需要在项目级别为构建服务账号分配Git的Edit Policies权限，而非仅在仓库层面配置：

1. 打开Azure DevOps项目，进入项目设置 → Repos → Repositories
2. 点击页面顶部的安全选项卡
3. 在搜索框中输入构建服务账号（格式为[项目名称] Build Service ([组织名称])，或直接搜索错误中的Build\{guid}）
4. 找到Edit Policies权限，设置为允许
5. 保存权限设置

另外要注意，由于启用了Protect access to repositories in YAML pipelines，流水线的系统令牌默认仅会获取已关联仓库的权限，而分支策略的编辑权限需要项目级授权，因此必须手动在项目安全层面赋予构建服务账号该权限，才能让Terraform正常执行分支策略部署操作。

内容的提问来源于stack exchange，提问作者killercowuk