从Azure DevOps更新Databricks仓库时遇‘无效访问令牌’错误

一、先调试确认请求头是否正确传入令牌 #

要验证流水线是否真的用了正确的令牌，最直接的方法是让任务输出完整请求头：

• 方法1：开启InvokeRESTAPI@1的调试模式
  在任务配置里添加enableRequestDebugging: true，流水线运行后会在日志里打印出所有请求头信息，你可以直接查看Authorization字段是否为Bearer <你的PAT>格式，以及令牌内容是否和Postman里一致。
  示例YAML：

  - task: InvokeRESTAPI@1
    inputs:
      connectionType: 'connectedServiceName'
      connectedServiceName: '你的通用服务连接名称'
      method: 'PATCH'
      urlSuffix: '/api/2.0/repos/[仓库ID]'
      body: '{"path": "/目标路径"}'
      enableRequestDebugging: true
  

• 方法2：用PowerShell任务替代调试
  临时替换InvokeRESTAPI任务，手动构造请求并打印令牌信息，确保令牌正确读取：

  # 从通用服务连接中获取令牌（变量名根据你的服务连接配置调整，通常是$(ServiceConnectionToken)）
  $databricksToken = $(ServiceConnectionToken)
  Write-Host "当前使用的令牌前缀：$( $databricksToken.Substring(0, 10) )..."  # 打印前10位避免泄露完整令牌
  
  # 构造请求头并发送请求
  $headers = @{
      'Authorization' = "Bearer $databricksToken"
      'Content-Type' = 'application/json'
  }
  try {
      $response = Invoke-RestMethod -Uri "https://<你的Databricks工作区URL>/api/2.0/repos/[仓库ID]" -Method PATCH -Headers $headers -Body '{"path": "/目标路径"}'
      Write-Host "请求成功：$($response | ConvertTo-Json)"
  } catch {
      Write-Host "请求失败，错误信息：$($_.Exception.Message)"
      Write-Host "响应内容：$($_.ErrorDetails.Message)"
  }
  

二、排查常见问题点 #

1. 通用服务连接配置错误 #

Databricks API要求Authorization头必须是Bearer <PAT>格式，检查你的通用服务连接：

• 如果是用“令牌”类型的凭据，确认是否在服务连接的“令牌”字段里只填了PAT，而InvokeRESTAPI任务是否自动添加了Bearer前缀？有些情况下需要手动在headers参数里指定：

  headers: |
    {
      "Authorization": "Bearer $(ServiceConnectionToken)"
    }
  

• 确保服务连接的URL是正确的Databricks工作区URL（比如https://xxx.azuredatabricks.net），没有多余的后缀或路径。

2. 流水线权限或变量覆盖 #

• 确认流水线所在的Azure DevOps项目有权限访问这个通用服务连接（在服务连接的“安全”设置里检查项目权限）。
• 检查流水线是否有变量组或本地变量覆盖了服务连接的令牌值，比如是否存在同名的变量ServiceConnectionToken导致使用了错误的令牌。

3. 令牌权限或环境匹配 #

• 虽然Postman能用，但再次确认PAT令牌的权限：必须包含repo:write权限，且是针对当前流水线访问的Databricks工作区生成的（不要把Dev环境的令牌用到生产环境）。
• 检查令牌是否过期（虽然你重新生成了，但还是确认一下有效期）。

4. InvokeRESTAPI任务参数错误 #

• 确认authenticationType参数是否设置正确：如果用通用服务连接的令牌，应该设置为authenticationType: 'bearer'，避免任务用了错误的认证方式（比如basic auth）。
• 检查body参数的格式是否正确，是否符合Databricks API的要求，JSON格式错误也可能导致令牌验证失败的误报。

5. 自托管代理缓存问题 #

如果用的是自托管流水线代理，可能缓存了旧的凭据：

• 重启代理服务，或者删除代理的缓存目录（通常在C:\agent\_work\_temp或对应Linux路径）后重试。

内容的提问来源于stack exchange，提问作者TJB