Azure Pipelines使用服务主体创建工作项遇TF401444错误求助

在自有VM运行的Azure Pipelines中，希望添加「创建工作项」步骤，在流水线失败时自动创建Bug工单。尝试用服务主体登录Azure：

az login --service-principal -u <app-id> -p <password-or-cert> --tenant <tenant>

登录看似成功，但执行创建Bug命令时收到错误：

"TF401444: Please sign-in at least once as: credentials/of/tenant in a web browser to enable access to the service".

试过个人账号登录（az login -u mail -p psw）可成功创建，但不想用个人凭据；尝试PAT登录（echo $(PAT) | az login）需要浏览器授权，无法自动化执行。

1. 给服务主体授予Azure DevOps项目权限 #

TF401444错误核心原因是服务主体未获得Azure DevOps的访问权限，步骤如下：

• 登录Azure DevOps组织，进入目标项目
• 打开「项目设置」→「权限」→「用户」
• 搜索服务主体的应用ID或显示名称，添加为项目成员
• 分配「Contributor」及以上权限（需包含创建工作项的权限）

2. 用服务主体正确登录Azure DevOps #

服务主体登录Azure（az login）仅获取Azure资源权限，需单独登录Azure DevOps：

# 方式1：直接用服务主体参数登录
az devops login --organization https://dev.azure.com/my_org --service-principal --username <app-id> --password <password-or-cert> --tenant <tenant-id>

# 方式2：通过Azure访问令牌自动登录（无交互）
export AZURE_DEVOPS_EXT_PAT=$(az account get-access-token --resource 499b84ac-1321-427f-aa17-267ca6975798 --query accessToken -o tsv)
az devops login --organization https://dev.azure.com/my_org

注：499b84ac-1321-427f-aa17-267ca6975798是Azure DevOps的固定资源ID，用于获取对应令牌。

3. 更优的自动化方案：使用Azure Pipelines内置任务 #

无需手动编写登录命令，直接用内置任务实现：

• 方案A：使用「Create Work Item」任务
  在流水线中添加该任务，配置工作项类型（Bug）、标题、描述、分配对象等参数；在任务的「控制选项」中设置「只有在前面的任务失败时才运行」，即可实现失败自动创建Bug。
• 方案B：使用「Azure CLI」任务
  选择已配置好的服务主体作为Azure连接，在任务内直接执行az boards work-item create命令，无需额外登录步骤。

修正PAT登录的错误用法 #

若坚持用PAT，正确的无交互登录命令是：

az devops login --organization https://dev.azure.com/my_org --token $(PAT)

需确保PAT拥有「Work Items (Read & Write)」权限，且无需浏览器授权。

内容的提问来源于stack exchange，提问作者swierszczu