使用Azure DevOps REST API调用管道时遇TF401444授权错误求助

1. 修正Client ID与Client Secret的赋值错误 #

你完全搞反了客户端密钥的取值规则：

• clientId 必须是Azure AD应用注册概述页的应用程序(客户端)ID，不是密钥的Value
• clientSecret 是你在“证书和机密”中创建的客户端密钥的Value，而非Secret ID

2. 配置Azure DevOps API权限并完成管理员同意 #

• 进入Azure AD应用注册的API权限页面
• 点击“添加权限”，通过搜索GUID 499b84ac-1321-427f-aa17-267ca6975798 找到Azure DevOps服务
• 添加对应需求的应用权限（例如Pipelines.ReadWrite.All，按需选择）
• 点击“授予管理员同意”（需全局管理员或对应特权角色操作）

3. 给Azure AD服务主体分配Azure DevOps组织权限 #

• 登录Azure DevOps组织，进入组织设置 -> 用户 -> 服务主体
• 点击“添加服务主体”，找到你注册的Azure AD应用
• 在目标项目的项目设置 -> 权限中，添加该服务主体并授予对应权限（如“编辑构建管道”等，根据操作需求调整）

修正后的代码示例（仅修正密钥赋值部分） #

string orgName = "MyOrg";
string project = "MyProject";
string tenantId = "0eb...";
string authority = $"https://login.microsoftonline.com/{tenantId}";
// 替换为应用概述页的应用程序(客户端)ID
string clientId = "656..."; 
// 替换为客户端密钥的Value
string clientSecret = "n.C..."; 
string scope = "499b84ac-1321-427f-aa17-267ca6975798/.default";

var app = ConfidentialClientApplicationBuilder
    .Create(clientId)
    .WithClientSecret(clientSecret)
    .WithAuthority(new Uri(authority))
    .Build();

var result = await app.AcquireTokenForClient(new[] { scope }).ExecuteAsync();
string accessToken = result.AccessToken;

using var client = new HttpClient();
client.DefaultRequestHeaders.Authorization = new AuthenticationHeaderValue("Bearer", accessToken);

HttpResponseMessage response2 = await client.GetAsync($"https://dev.azure.com/{orgName}/{project}/_apis/pipelines?api-version=7.0");
string responseBody = await response2.Content.ReadAsStringAsync();

补充说明 #

错误TF401444本质是服务主体未获得Azure DevOps组织认可的有效操作权限，即便获取到Token，也无权限执行请求，因此系统提示需登录激活权限。完成上述三步配置后，即可正常调用API操作管道。

内容的提问来源于stack exchange，提问作者Julien