Azure DevOps Server本地版应用注册与API认证方案咨询

本地Azure DevOps Server确实没有云版那种应用注册（服务主体）的原生支持，这是两者的核心功能差异之一，你没遗漏什么操作。下面是几个可行的替代方案，并非只有LDAP技术用户+PAT这一种：

• 专用服务账号+最小权限PAT：在LDAP或本地AD创建一个专门的只读服务账号，给它分配仅能访问目标资源的只读权限（比如只允许查看指定项目集合的信息），然后为该账号生成PAT并设置合理的过期时间。这种方式比用个人PAT更安全，因为是专用账号，权限被严格限制，不会关联到个人账号的权限变动。

• 匿名访问（限公开项目）：如果你的项目允许公开访问，可以在Azure DevOps Server的服务器设置里开启匿名访问。开启后，只读类的API请求不需要携带认证信息就能直接访问，适合完全公开的场景。

• Windows集成身份验证（域环境）：如果你的应用运行在域环境内，可以配置应用使用域服务账号的Windows身份验证调用API。给该服务账号分配Azure DevOps的只读权限后，应用发起请求时直接使用该账号的身份（通过Windows集成认证），无需额外生成PAT。

其中，专用服务账号+最小权限PAT是最通用的方案，适配大多数私有项目的只读访问需求。

内容的提问来源于stack exchange，提问作者Pampa Nello