无法从DevOps Pipeline推送至Azure Git的问题求助

问题回顾 #

错误信息：TF401027: 执行此操作需要Git 'GenericContribute'权限。详情：标识 'Build\8ec5f0f1-6bca-4182-bb3e-2d47a64262bf'，作用域 'repository'。

已确认对应构建服务账户拥有仓库级别的Contribute、Create branch、Bypass policies when pushing等权限，目标分支未锁定且无分支策略，但Pipeline中git push命令仍执行失败，且不指定HEAD:Eval会提示分离HEAD状态。

解决方案 #

1. 调整checkout任务的位置 #

当前YAML中checkout任务在git配置之后执行，可能导致persistCredentials未正确生效。需将checkout移至所有步骤最前面：

steps:
- checkout: self
  persistCredentials: true

- task: PowerShell@2
  inputs:
    targetType: 'inline'
    script: |
      git config --global user.email "me@example.com"
      git config --global user.name "Build Agent1"
    pwsh: true
  
- task: PowerShell@2
  inputs:
    targetType: 'inline'
    pwsh: true
    script: |
      Write-Host "------------------------------------------------------------"
      # Update the file src\version.ts here
      git add src\version.ts
      git commit -m "Version bump from build pipeline [skip ci]"
      git push origin HEAD:Eval 

2. 检查分支级别的权限设置 #

仓库级权限可能被分支级权限覆盖，需确认目标分支Eval的权限设置：

• 进入仓库 -> 分支 -> 找到Eval分支 -> 点击“...” -> “分支权限”
• 搜索错误信息中的Build\8ec5f0f1-6bca-4182-bb3e-2d47a64262bf账户，确保其在分支级别拥有Contribute权限，且无拒绝项。

3. 确认构建服务账户的正确身份 #

错误信息中的账户是项目级构建服务账户（格式为项目名称\构建服务(组织名称)），需确认你配置权限的账户是该账户，而非组织级的构建服务账户（组织名称\构建服务(组织名称)）。

4. 使用Pipeline内置变量指定分支 #

避免手动输入分支名出错，改用内置变量$(Build.SourceBranchName)：

git push origin HEAD:$(Build.SourceBranchName)

5. 开启脚本访问OAuth令牌权限 #

在Pipeline编辑页面：

1. 点击右上角的“...” -> 选择“代理作业设置”
2. 勾选“允许脚本访问OAuth令牌”选项
3. 保存并重新运行Pipeline

内容的提问来源于stack exchange，提问作者TimTheEnchanter