Azure DevOps外部来宾用户无法访问Git仓库问题求助

• 检查Azure AD外部协作基础设置
  登录Azure AD门户，进入外部协作设置，确认已开启“允许来宾访问Azure AD资源”，同时排查是否有域限制规则，确保来宾用户的域名不在阻止列表内。

• 验证Azure DevOps组织级来宾访问开关
  在Azure DevOps组织设置中，进入权限->组织设置->安全，找到来宾访问选项，确认已启用“允许来宾访问项目和其他组织资源”，同时确保仓库相关核心权限（如读取、贡献）对来宾组开放。

• 排查仓库级权限的继承与显式配置
  进入目标仓库的设置->权限页面：

  • 确认Contributors组的权限是否继承自项目级，若存在显式拒绝设置，会直接覆盖允许权限，需删除拒绝条目。
  • 单独检查来宾用户的个人权限，确认没有单独的拒绝配置，若有则移除。
  • 确保Contributors组的“读取仓库”“贡献仓库”权限已设为允许状态。

• 确认来宾用户的身份激活状态
  在Azure DevOps组织设置->用户中，查看来宾用户状态是否为“已激活”，若状态异常（如未接受邀请），重新发送邀请并提醒用户完成身份验证。同时确认用户登录的是正确的Azure AD租户（外部来宾可能关联多个租户）。

• 清除缓存并重新验证登录
  让来宾用户清除浏览器缓存，或使用隐身模式重新登录Azure DevOps，避免旧权限缓存导致的访问异常。

• 核查集合管理员权限的实际生效范围
  若已将用户设为集合管理员，进入集合设置->安全->权限，确认集合管理员组在仓库权限模块拥有“完全控制”或至少“读取+贡献”权限，无额外限制规则。

• 排查Azure AD条件访问策略影响
  检查是否存在Azure AD条件访问策略限制来宾用户访问Azure DevOps，比如地理位置拦截、设备合规要求等，这类策略会绕过权限设置直接限制访问。

内容的提问来源于stack exchange，提问作者jhurtas