如何让组织内所有项目均可使用组织范围的AzDO源？

我完全懂手动给每个新项目配置Feed权限有多繁琐，还要处理历史项目的话更是头疼——下面给你一套完整方案，覆盖过去、现在和未来的所有项目：

一、让未来新项目自动获得访问权限（一步到位） #

要彻底解决后续新项目的手动配置问题，直接在组织级Feed的全局设置里开启默认允许：

1. 打开Azure DevOps组织的「Artifacts」页面，找到你的组织级Feed（也就是你提到的MY-FEED）
2. 点击Feed名称进入详情页，切换到「Permissions」标签页
3. 点击页面上方的「Settings」按钮（或者右上角的齿轮图标）
4. 在弹出的设置面板中，找到「Project-scoped builds」选项，勾选**「Allow all project-scoped builds to access this feed」**
   • 这个设置会自动给所有后续新建的项目开绿灯，再也不用手动去每个项目里改权限了

二、批量更新现有项目的权限（搞定历史和当前项目） #

对于已经存在的项目，手动逐个改效率太低，推荐用Azure CLI或者REST API批量处理：

方法1：用Azure DevOps CLI快速批量操作

1. 先确保你已经安装并登录了Azure DevOps CLI：

   az login
   az devops login --organization https://dev.azure.com/你的组织名
   

2. 先获取组织内所有项目的ID列表（方便后续循环处理）：

   az devops project list --organization https://dev.azure.com/你的组织名 --output table
   

3. 写个简单的Shell脚本循环处理每个项目，自动开启Feed的项目范围构建权限：

   # 替换成你的Feed ID（在Feed的Settings页面可以找到）
   FEED_ID="你的Feed唯一ID"
   ORG_NAME="你的组织名"
   
   # 获取所有项目的ID列表
   PROJECT_IDS=$(az devops project list --organization https://dev.azure.com/$ORG_NAME --query "[].id" -o tsv)
   
   # 循环给每个项目开启权限
   for PROJECT_ID in $PROJECT_IDS; do
       # 给项目的构建服务账号添加Feed的Reader权限
       az artifacts permission set --feed $FEED_ID --project $PROJECT_ID --organization https://dev.azure.com/$ORG_NAME --subject "Project Collection Build Service ($ORG_NAME)" --role "Reader"
       # 启用该项目对Feed的范围构建访问
       az artifacts feed update --feed $FEED_ID --organization https://dev.azure.com/$ORG_NAME --allow-project-scoped-builds true --project $PROJECT_ID
   done
   

方法2：用REST API自定义处理（适合有开发能力的场景）

如果你习惯用API操作，可以通过Azure DevOps的REST接口批量更新：

1. 先创建一个有「Packaging (Read & Write)」权限的个人访问令牌（PAT）
2. 调用API获取组织内所有项目：

   GET https://dev.azure.com/你的组织名/_apis/projects?api-version=7.1-preview.4
   

3. 对每个项目ID，调用PATCH接口开启项目范围构建权限：

   PATCH https://dev.azure.com/你的组织名/_apis/packaging/feeds/你的FeedID?api-version=7.1-preview.1
   Content-Type: application/json
   
   {
       "allowProjectScopedBuilds": true,
       "projectReference": {
           "id": "目标项目ID"
       }
   }
   

三、验证设置是否生效 #

做完上面的操作后，你可以：

• 新建一个测试项目，直接运行Maven构建，看是否还会出现403错误
• 对现有项目重新触发构建，验证依赖是否能正常从组织级Feed拉取

补充一下：你遇到的403错误，核心原因是项目级的构建服务账号没被授予组织级Feed的「ReadPackages」权限。开启「Allow project-scoped builds」后，系统会自动给每个项目的Project Collection Build Service (你的组织名)账号添加Reader权限，自然就解决了授权问题。

内容的提问来源于stack exchange，提问作者Evgeniy Berezovsky