Azure DevOps创建LCS上传发布管道：非MFA非管理员AAD用户角色配置

先处理AADSTS7000218错误根源 #

AADSTS7000218错误核心原因是新建的AAD用户密码为临时状态，无法通过非交互式认证（Azure DevOps发布管道使用的认证方式）。解决步骤：

• 用该用户账号登录一次Azure AD门户，完成密码重置，设置永久密码。
• 确保登录过程中没有触发MFA要求（如果有，需要调整AAD条件访问策略）。

必要的角色与权限配置 #

LCS项目权限 #

• 将该用户添加到目标LCS项目的项目管理员或环境管理员角色：拥有部署包到环境的核心权限。
• 若涉及包库管理（上传/维护部署包），需额外添加库管理员角色。

Azure AD侧设置 #

• 排除该用户的强制MFA策略：在AAD条件访问规则中，针对该用户或其所在组，设置允许无MFA的非交互式认证（适配Azure DevOps和LCS的服务调用场景）。
• 确保用户账号状态正常：未被禁用，且允许使用用户名/密码进行认证（在AAD用户属性的“登录设置”中，确认未限制认证方式）。

Azure DevOps服务连接配置 #

• 在Azure DevOps的服务连接中，选择用户名/密码认证类型，填入该用户的永久密码。
• 确保服务连接拥有访问构建工件库的权限，能读取待发布的Dynamics 365 FO部署包。

内容的提问来源于stack exchange，提问作者Jovan Kirkov