Azure DevOps经典流水线变量组作用域：Release报401错误排查

• 服务账号权限不匹配：当变量组作用域设为整个Release时，流水线会在发布初始化阶段就尝试拉取变量组内容，这个阶段使用的是Azure DevOps内置的Project Collection Build Service账号。如果该账号没有变量组所在库的读取权限，就会触发401错误。而将作用域限定到特定阶段时，变量组的拉取操作会延迟到阶段执行时，此时使用的是阶段配置的服务连接账号（比如你手动指定的有权限的服务主体），因此能正常访问。

• 关联Key Vault的权限差异：如果变量组关联了Azure Key Vault，Release级作用域下，初始化阶段的服务账号没有Key Vault的Get权限（针对机密、密钥或证书），就会返回未授权。而阶段级作用域下，执行阶段的账号通常已经被授予了Key Vault的对应权限，所以可以顺利读取变量。

• Release级流水线权限未配置：经典发布流水线的Release级作用域对变量组有额外的权限校验——需要确认变量组的「流水线权限」设置中，是否允许目标发布流水线在Release级别访问。如果仅给阶段级授权，未开启Release级的访问权限，就会在全局作用域下触发401。

• 权限缓存延迟：偶尔会遇到Azure DevOps的权限缓存未及时更新的情况，比如你刚给阶段级账号授权，但Release级服务账号的权限还没同步，导致全局作用域下报错。这种情况可以尝试重新保存变量组的权限设置，或手动重启发布流水线来刷新缓存。

内容的提问来源于stack exchange，提问作者404Everything