Azure DevOps CLI管道管理认证失败求助：PAT与服务主体均无效

问题场景 #

已创建具备对应权限的PAT令牌，执行Azure DevOps管道命令时仍提示认证要求：

$ az pipelines list --org https://dev.azure.com/company-name --project project --top 2
The requested resource requires user authentication: https://dev.azure.com/company-name/project/_apis/build/Definitions?queryOrder=none&$top=2

尝试az devops login登录时提示PAT无法通过keyring存储， fallback到文件存储，但登录后问题依旧；同时已通过Service Principal（az login --identity）登录，且该主体具备管道权限，仍无法使用Azure DevOps CLI扩展。

环境配置：

$ az --version
azure-cli                         2.44.1

core                              2.44.1
telemetry                          1.0.8

Extensions:
azure-devops                      0.25.0
interactive                        0.4.6

Dependencies:
msal                              1.20.0
azure-mgmt-resource             21.1.0b1

Python location '/opt/az/bin/python3'
Extensions directory '/home/fabkli/.azure/cliextensions'

Python (Linux) 3.10.8 (main, Jan 10 2023, 15:48:34) [GCC 11.3.0]

Legal docs and information: aka.ms/AzureCliLegal


Your CLI is up-to-date.

排查与解决步骤 #

1. 确认PAT权限与有效性 #

• 检查PAT的权限范围：至少勾选Build (Read)、Project and Team (Read)，如果需要修改管道需添加对应编辑权限；
• 确认PAT未过期，且作用域是目标Azure DevOps组织；
• 可以直接在浏览器中访问报错里的API链接，用PAT做Basic Auth验证（用户名留空，密码填PAT），确认能返回数据，排除权限问题。

2. 直接通过环境变量传递PAT #

绕开本地凭证存储的问题，临时通过环境变量注入PAT：

# 替换为你的PAT令牌
export AZURE_DEVOPS_EXT_PAT=your_pat_token_here

之后再执行管道命令：

az pipelines list --org https://dev.azure.com/company-name --project project --top 2

3. 修复keyring凭证存储问题 #

az devops login提示无法使用keyring时，是因为系统缺少密钥环依赖，安装对应组件即可：

• Debian/Ubuntu系统：

sudo apt-get install gnome-keyring libsecret-1-0 libsecret-1-dev

• RHEL/CentOS系统：

sudo yum install gnome-keyring libsecret

安装完成后重启终端，重新执行az devops login输入PAT，此时应该能正常存储凭证。

4. 重置本地缓存的凭证 #

如果之前的登录缓存有残留问题，先注销并清理缓存：

# 注销目标组织的登录
az devops logout --organization https://dev.azure.com/company-name
# 删除本地Azure DevOps凭证文件
rm -rf ~/.azure/azureDevOpsCredential

之后重新执行az devops login输入PAT，再尝试管道命令。

5. Service Principal的限制说明 #

Azure DevOps CLI不支持直接用Service Principal登录，SP主要用于Azure云资源的管理，无法直接用于Azure DevOps服务的操作。如果需要自动化操作，建议使用PAT作为凭证，或者通过Azure AD OAuth流程获取访问令牌。

验证登录状态 #

执行以下命令确认认证是否成功：

az devops user show --organization https://dev.azure.com/company-name

如果能返回用户信息，说明认证有效，再执行管道命令即可正常操作。

内容的提问来源于stack exchange，提问作者FabioKaelin