跨Azure DevOps Server租户共享NuGet包：上游配置可行性及方案

核心结论 #

跨Azure AD租户的Azure DevOps组织之间，无法通过自定义上游（azure-feed://格式）直接连接对方的Artifacts Feed。这是Azure DevOps的设计限制，azure-feed://协议仅支持同租户内的Feed身份验证与访问，跨租户时权限验证机制无法正常工作，即便已为用户赋予目标Feed的访问权限也无法绕过。

报错原因 #

你遇到的错误The source at 'azure-feed://OrgB/ProjectB/FeedB@Local' cannot be configured as an upstream because it does not exist or you do not have permissions to it.，本质是跨租户场景下azure-feed://协议无法完成身份传递，系统无法识别你在组织B中的权限，因此判定源不存在或无权限。

符合需求的替代方案 #

针对「不依赖组织B服务器、在组织A中镜像包、故障时不影响构建」的要求，推荐以下两种方案：

方案1：NuGet上游源+本地缓存 #

1. 配置组织B的Feed访问凭证：
   • 在组织B的Feed B中，生成仅包含「包读取」权限的个人访问令牌（PAT）
   • 获取Feed B的NuGet源URL，格式为：https://pkgs.dev.azure.com/OrgB/ProjectB/_packaging/FeedB/nuget/v3/index.json
2. 在组织A中添加上游源：
   • 打开Feed A的上游源设置，选择「NuGet.org或其他NuGet源」
   • 输入上述Feed B的URL，配置身份验证：用户名填组织B的PAT，密码留空
3. 启用本地缓存：
   • Feed A默认开启包缓存功能，拉取过的包会自动存储在本地。即使组织B服务器故障，构建时会优先使用缓存的包，保障构建正常运行

方案2：自动化Pipeline镜像包 #

1. 创建同步Pipeline：
   • 在组织A的DevOps中新建Pipeline，使用NuGetCommand任务从Feed B拉取指定包（或所有包）
   • 添加第二个NuGetCommand任务，将拉取的包推送到Feed A
2. 配置触发规则：
   • 可设置定时触发（如每日同步），或通过Webhook监听Feed B的包发布事件，实现实时同步
3. 优势：主动将Feed B的包镜像到Feed A，完全脱离对组织B服务器的依赖，构建时直接使用本地镜像的包

注意事项 #

• 使用PAT时，遵循最小权限原则，仅授予「包读取」权限，并定期轮换令牌
• 缓存方案适合按需拉取场景，自动化镜像适合需要完整同步所有包的场景
• 若使用自动化Pipeline，需确保Pipeline使用的服务连接或PAT具备Feed B的读取权限和Feed A的推送权限

内容的提问来源于stack exchange，提问作者Leon Plumpe