Azure DevOps VMSS代理池任务无管理员权限致访问拒绝问题求助

一、调整Azure DevOps流水线任务的运行权限 #

1. PowerShell/CMD任务提权 #

• 在流水线的PowerShell或CMD任务设置里，找到高级面板，勾选「以管理员身份运行」。
• 用YAML配置的话，直接给任务加上runAsAdmin: true：

  - task: PowerShell@2
    inputs:
      targetType: 'inline'
      script: '你的执行脚本'
    runAsAdmin: true
  

2. Final Builder任务权限配置 #

• 打开Final Builder项目的运行设置，勾选「以管理员身份启动」；如果是通过DevOps调用，在命令行里用管理员身份启动程序，比如：

  runas /user:administrator "finalbuilder.exe /project:你的项目文件.fbp7"
  

  注意提前配置好本地管理员的凭证。

二、修改VMSS实例的代理服务运行账户 #

Azure DevOps代理默认用NT SERVICE\vstsagent账户运行，这个账号没有管理员权限，直接改服务的运行身份：

• 登录VMSS实例，打开服务管理器，找到Azure Pipelines Agent服务。
• 右键选「属性」→「登录」，切换到「此账户」，输入本地管理员账号和密码，确定后重启服务。之后代理执行的所有任务都会继承管理员权限。

三、解决VM中控制台应用无法提权的问题 #

• 右键控制台应用→「属性」→「兼容性」，勾选「以管理员身份运行此程序」，再点「更改所有用户的设置」，确保所有用户启动时默认用管理员权限。
• 用命令行启动的话，直接用提权命令：

  runas /user:administrator "你的应用程序.exe"
  

  或者写个批处理脚本自动检测并提权：

  @echo off
  net session >nul 2>&1
  if %errorLevel% == 0 (
      你的应用程序.exe
  ) else (
      powershell -Command "Start-Process '%~dpnx0' -Verb RunAs"
      exit /B
  )
  

四、批量配置VMSS实例（大规模场景） #

用Azure VMSS自定义脚本扩展批量修改所有实例：

• 写一个PowerShell脚本，包含修改代理服务账户、设置应用兼容性的逻辑。
• 到Azure门户找到目标VMSS，进入「扩展」→添加「自定义脚本扩展」，上传脚本并配置参数，让实例启动时自动执行脚本完成权限配置。

内容的提问来源于stack exchange，提问作者User