如何解决Databricks服务主体作业无法访问Azure DevOps远程仓库问题？

核心结论 #

服务主体可以直接访问Azure DevOps Git仓库，之前的“不可行”说法不准确，以下是可落地的实现步骤：

步骤1：配置Azure DevOps权限 #

• 在Azure DevOps项目的项目设置 > 权限 > 用户中，添加目标服务主体（通过应用ID或名称搜索）
• 为该服务主体分配Git仓库的读取权限（至少加入「Read」权限组，或直接分配「Contribute」组以支持后续可能的推送需求）

步骤2：生成服务专属的Azure DevOps PAT #

服务主体不能复用个人PAT，需生成自己的访问令牌：

1. 通过Azure CLI登录服务主体：

   az login --service-principal -u <服务主体应用ID> -p <服务主体密钥> --tenant <租户ID>
   

2. 生成限定权限的PAT（权限范围至少勾选「Code (Read)」）：

   az devops login
   az devops security token create --scope organization --token-type pat --display-name "Databricks作业访问令牌" --expiration 2025-12-31 --scope-maps "code_read"
   

   也可以在Azure DevOps网页端，以服务主体身份登录后手动生成PAT（需确保服务主体已被授予Azure DevOps组织访问权限）

步骤3：为服务主体配置Databricks Git凭证 #

调用Databricks Git Credentials API时，需使用服务主体自身的PAT，而非个人PAT：

• 请求示例（以服务主体身份调用，需携带服务主体的Databricks令牌）：

  POST /api/2.0/git-credentials
  {
    "git_username": "<服务主体应用ID>",
    "git_provider": "azureDevOpsServices",
    "personal_access_token": "<服务主体生成的Azure DevOps PAT>"
  }
  

  这里git_username填写服务主体的应用ID，Azure DevOps支持以此作为用户名搭配PAT完成认证。

步骤4：验证作业配置 #

• 确认Databricks作业的所有者为该服务主体
• 作业的Git仓库配置直接使用Azure DevOps仓库URL，无需额外调整，作业将自动使用服务主体的Git凭证拉取代码

备选方案：Azure AD OAuth认证 #

如果生成PAT有障碍，可使用Azure AD OAuth替代：

• 在Azure DevOps中启用Azure AD OAuth，将Databricks服务主体加入允许访问的应用列表
• 在Databricks作业的Git配置中选择「Azure AD认证」，作业将通过服务主体身份自动完成OAuth流程，无需手动配置PAT

内容的提问来源于stack exchange，提问作者thompson