Azure CLI管道任务在ADO中挂起且授权失败求助

一、解决脚本挂起问题：弃用管道式登录 #

在ADO管道任务中，不要用echo $Pat_key| az devops login这种管道方式完成身份验证——ADO任务的控制台输入流逻辑和本地终端不同，极易导致脚本挂起无响应。推荐两种可靠的身份验证方案：

方案1：使用ADO内置身份（无需手动PAT） #

1. 在ADO的Azure CLI任务配置中，选择对应Azure DevOps组织的服务连接（未创建则先新建）；若为同一Azure AD租户下的组织，也可选择系统托管身份。
2. 脚本中直接移除az devops login命令，ADO会自动通过服务连接/托管身份完成鉴权：

   az devops configure -d organization=https://dev.azure.com/****/ project=***
   az pipelines variable-group variable update --id 365 --name release.version --value **-Release-1.2.0
   

方案2：通过环境变量传递PAT（替代管道输入） #

若必须使用自定义PAT，通过环境变量AZURE_DEVOPS_EXT_PAT传递，避免输入流异常：

export AZURE_DEVOPS_EXT_PAT=$Pat_key
az devops configure -d organization=https://dev.azure.com/****/ project=***
az pipelines variable-group variable update --id 365 --name release.version --value **-Release-1.2.0

注意事项：

• Pat_key需在ADO管道中配置为保密变量，并勾选「允许脚本访问此变量」。
• 创建PAT时，权限范围必须包含：Variable Groups (Read & manage)、Build (Read & execute)，不可遗漏。

二、解决TF400813权限错误 #

该错误表明执行脚本的身份无变量组操作权限，按以下步骤排查：

• 若使用系统托管身份/服务连接主体：将该身份添加到项目「项目管理员」组，或直接在目标变量组的权限设置中，为其分配「编辑」权限。
• 若使用自定义PAT：检查PAT所属账号是否在项目中拥有变量组编辑权限，同时确认PAT的权限范围符合要求（参考方案2的权限说明）。
• 注意：不要忽略ADO内置的「项目集合构建服务（[组织名]）」账号权限——若使用管道默认服务身份，需确保该账号拥有变量组编辑权限。

三、额外验证项 #

1. 确认az devops configure中的组织、项目URL/名称无拼写错误，避免多余斜杠或字符。
2. 若使用PowerShell执行脚本，环境变量写法需调整为：$env:AZURE_DEVOPS_EXT_PAT = $Pat_key。

内容的提问来源于stack exchange，提问作者wrighty11xbl