Azure DevOps Pipeline Git标签推送权限异常求助

• 确认权限配置的是正确的服务账号

  报错中的Build\05fa7f18-2bf1-4a2a-a8a5-36c05ae3c315是项目级Build服务账号，格式为[项目名] Build Service ([组织名])。不要误配置组织级的Build Service Account，需要进入项目设置→Repositories→目标仓库→权限，搜索该项目级账号，确保GenericContribute权限设为允许。

• 检查权限的作用范围与优先级

  • 确保权限是直接分配给该账号，而非仅通过组继承；
  • 排查是否有其他权限规则（比如拒绝）覆盖了允许设置，拒绝权限优先级高于允许。

• 确保Pipeline使用正确的运行凭据
  在YAML中显式使用Azure DevOps系统凭据执行推送操作，示例代码：

  steps:
    - script: |
        git config --global user.email "build@dev.azure.com"
        git config --global user.name "Azure DevOps Build"
        git tag -a v1.0.0 -m "Release version 1.0.0"
        echo $(System.AccessToken) | git push https://$(System.AccessToken)@dev.azure.com/YourOrg/YourProject/_git/YourRepo v1.0.0
      displayName: 'Push Git Tag'
  

  这种方式会强制使用Pipeline运行时的系统AccessToken，避免凭据不一致问题。

• 检查标签相关的单独权限
  进入仓库设置→权限→查看该账号的Create Tag权限，确保设为允许（若仓库单独配置了标签权限）。

• 刷新权限并重新排队Pipeline
  权限配置后可能需要1-2分钟生效，重新排队Pipeline而非继续运行旧的实例，确保新权限被加载。

内容的提问来源于stack exchange，提问作者B. Youngman