Azure DevOps REST API调用SPN授权失败问题求助

问题描述 #

我需要自动化检查Azure DevOps对象详情（如项目列表、流水线信息），已创建Azure AD服务主体（SPN）并授予Azure DevOps全访问应用权限，通过以下PowerShell代码登录SPN：

$SecuredPassword = ConvertTo-SecureString -String $AppSecret -AsPlainText -Force
$Credential = New-Object -TypeName System.Management.Automation.PSCredential -ArgumentList $AppId, $SecuredPassword
Connect-AzAccount  -ServicePrincipal -TenantId $TenantId -Credential $Credential

但生成令牌调用Azure DevOps REST API时，持续收到权限错误：
TF400813: The user is not authorized to access this resource.
401 - Uh-oh, you do not have access. The request requires authentication.
调用API的代码如下：

$token = (Get-AzAccessToken -ResourceUrl "499b84ac-1321-427f-aa17-267ca6975798").Token
$URL = 'https://dev.azure.com/orgname/ADOorgName/_apis/pipelines/52/runs?api-version=6.0-preview.1'
$header = @{
    'Authorization' = 'Bearer ' + $token
    'Content-Type' = 'application/json'
}
$body = @"
  {
    "resources": {
        "repositories": {
            "self": {
                "refName": "refs/heads/main"
            }
        }
    }
  }
"@

Invoke-RestMethod -Method Post -Uri $URL -Headers $header -Body $body

解决步骤 #

1. 给SPN分配Azure DevOps组织/项目权限 #

仅在Azure AD配置应用权限不足以访问Azure DevOps资源，必须在Azure DevOps内部给SPN分配对应权限：

• 登录Azure DevOps组织，进入「组织设置」→「权限」→「服务主体」
• 搜索并添加你的SPN为组织成员或目标项目成员
• 根据需求分配权限：比如触发流水线需「流水线运行者」权限，查看流水线需「流水线读者」权限

2. 修正令牌验证方式 #

方式一：继续使用Bearer令牌

确认Get-AzAccessToken的ResourceUrl参数正确（499b84ac-1321-427f-aa17-267ca6975798是Azure DevOps的官方资源ID），同时确保SPN的Azure AD权限已完成管理员同意。

方式二：改用个人访问令牌（PAT，更稳定）

在Azure DevOps中为SPN创建PAT，勾选所需权限范围（如「流水线」相关权限），然后修改请求头：

$pat = "你的SPN专属PAT令牌"
$base64AuthInfo = [Convert]::ToBase64String([Text.Encoding]::ASCII.GetBytes(":$($pat)"))
$header = @{
    'Authorization' = "Basic $base64AuthInfo"
    'Content-Type' = 'application/json'
}
# 后续Invoke-RestMethod调用代码保持不变

3. 检查API URL正确性 #

确认URL中的组织名和项目名顺序正确：格式应为https://dev.azure.com/[组织名]/[项目名]/_apis/pipelines/52/runs?api-version=6.0-preview.1，避免组织名与项目名混淆。

4. 验证Azure AD权限配置 #

在Azure AD应用注册中，确认已添加Azure DevOps Graph API的对应应用权限（如vso.build_execute、vso.project_read等），且已完成管理员同意操作。

内容的提问来源于stack exchange，提问作者tester81