使用Azure CLI访问Azure Pipeline工件遇TF401444错误求助

通过Azure CLI执行以下命令创建了服务主体：

az ad sp create-for-rbac --role contributor --scopes /subscriptions/mySubscriptionID

编写了PowerShell脚本，使用该服务主体登录并执行Azure Pipelines相关命令，脚本内容如下：

az devops configure --defaults organization=$ORGANIZATION 
az devops configure --defaults project=$PROJECT_NAME 
az login --service-principal --username USERNAME --password PASSWORD --tenant TENANT #login 
$BuildList=az pipelines build list --branch $BRANCH_NAME --result "succeeded" --top 1

运行脚本时出现错误：

TF401444: Please sign-in at least once as .... in a web browser to enable access to the service

但在之前已经用PAT令牌完成Azure登录的机器上运行该脚本则无异常，需要明确错误原因及解决办法。

这个错误的核心是服务主体未被授予Azure DevOps组织的访问权限：

• 服务主体是Azure AD中的身份实体，默认没有Azure DevOps组织的访问权限——Azure订阅的角色（比如Contributor）仅作用于Azure资源，无法覆盖Azure DevOps独立的权限体系。
• 之前用PAT登录过的机器能正常运行，是因为PAT对应的用户已在Azure DevOps组织中拥有有效权限，本地缓存的权限上下文或PAT的权限覆盖了服务主体的权限缺失问题。

方法1：为服务主体分配Azure DevOps组织级权限 #

1. 登录Azure DevOps组织网页端，进入组织设置 → 权限 → 用户
2. 在搜索框输入服务主体的名称或应用ID（即脚本中az login的USERNAME），找到该身份
3. 为其分配匹配需求的权限（如项目集合管理员或对应项目的参与者权限）
4. 保存设置后重新运行脚本即可。

方法2：使用PAT替代服务主体登录 #

如果不想在网页端配置权限，可直接用PAT完成登录：

az devops configure --defaults organization=$ORGANIZATION 
az devops configure --defaults project=$PROJECT_NAME 
az devops login --organization $ORGANIZATION --token $PAT_TOKEN
$BuildList=az pipelines build list --branch $BRANCH_NAME --result "succeeded" --top 1

方法3：清除本地Azure CLI缓存（针对异常机器） #

若个别机器出现异常，可能是本地缓存了旧身份信息，执行以下命令清除后重新登录：

az account clear
az cache purge

再重新运行脚本中的登录命令。

内容的提问来源于stack exchange，提问作者Deekshith K V