Azure DevOps跨组织解析NPM包遇401错误的解决方法

我们在organization1内维护着一个名为design的NPM包，同组织的流水线仅通过.npmrc配置就能正常拉取该包。但尝试访问organization2的同名design包时，流水线抛出401错误，无法读取或解析目标包。

已尝试但无效的方案 #

• 在Azure DevOps中配置并使用服务连接
• 在.npmrc文件中直接嵌入PAT
• 参照指定博客的指引配置所有相关属性

当前使用的.npmrc配置 #

@<reg>:registry=https://<reg>.pkgs.visualstudio.com/_packaging/<feed>/npm/registry/
//https://<reg>.pkgs.visualstudio.com/_packaging/<feed>/npm/registry/:_password=#{npm_PAT}#
//https://<reg>.pkgs.visualstudio.com/_packaging/<feed>/npm/registry/:username="notrequired"
//https://<reg>.pkgs.visualstudio.com/_packaging/<feed>/npm/registry/:email="not@required.ever"
//https://<reg>.pkgs.visualstudio.com/_packaging/<feed>/npm/registry/:always-auth = true

解决步骤 #

1. 确认PAT的权限与归属
   • 用于访问organization2的PAT必须是从该组织的Azure DevOps中生成的，且需具备Packaging (Read)权限。不能使用organization1的PAT，跨组织的PAT权限不互通。生成PAT时，在权限列表中勾选Packaging下的Read选项，有效期按需设置。
2. 修正.npmrc的注册表配置
   • 确保配置中的<reg>替换为organization2的组织名称，<feed>替换为该组织对应的包源名称。例如，如果organization2的组织名为org2，包源为org2-shared-feed，配置应更新为：

     @org2:registry=https://org2.pkgs.visualstudio.com/_packaging/org2-shared-feed/npm/registry/
     //org2.pkgs.visualstudio.com/_packaging/org2-shared-feed/npm/registry/:_password=BASE64_ENCODED_PAT
     //org2.pkgs.visualstudio.com/_packaging/org2-shared-feed/npm/registry/:username="notrequired"
     //org2.pkgs.visualstudio.com/_packaging/org2-shared-feed/npm/registry/:email="not@required.ever"
     //org2.pkgs.visualstudio.com/_packaging/org2-shared-feed/npm/registry/:always-auth=true
     

   • 注意：_password的值必须是PAT的Base64编码结果，不能直接填写明文PAT。可通过终端命令echo -n "your-org2-pat" | base64生成编码值。
3. 检查流水线变量的正确性
   • 如果通过#{npm_PAT}#变量传递凭证，要确认该变量存储的是organization2的PAT，且已设置为Secret类型。同时确保流水线在执行时能正确读取该变量。
4. 验证包源的访问权限设置
   • 登录organization2的Azure DevOps，进入目标包源的权限管理页面，检查是否授予了持有PAT的用户或服务主体Reader权限。若无对应权限，即使PAT正确也无法拉取包。
5. 清理npm缓存
   • 在流水线的依赖安装步骤前添加缓存清理命令：npm cache clean --force，避免旧的缓存凭证干扰新的包拉取请求。

内容的提问来源于stack exchange，提问作者prakashrajansakthivel