Azure DevOps Pipeline推送包至Artifact Feed遇403权限错误求助

问题重现 #

在Azure DevOps YAML管道中引用同项目下其他仓库的模板，执行DotNetCoreCLI@2的push步骤时，报错：

User '7de7da78-xxxx-xxxx-xxxx-xxxx3612a661' lacks permission to complete this action. You need to have 'AddPackage'.

已尝试将构建账户添加为项目贡献者、Feed协作者，但问题仍存在，自托管和微软托管代理均出现此错误。

解决建议 #

1. 确认正确的构建服务账户 #

报错中的GUID对应的是项目级构建服务账户，格式为[项目名称] Build Service ([组织名称])，不要误选组织级的构建服务账户。在Feed权限设置中，确保添加的是这个项目专属的构建服务账户，而非个人账号或其他组。

2. 直接赋予Feed权限而非依赖组继承 #

进入Azure Artifacts Feed的权限管理页面：

• 移除通过项目贡献者组继承的权限，直接添加项目级构建服务账户，赋予协作者（或更高权限）。
• 确认权限设置针对的是当前项目范围的Feed，而非组织级Feed。

3. 检查跨仓库模板的权限配置 #

由于管道引用了同项目下另一个仓库的模板，需：

• 进入管道设置，开启允许访问所有项目资源；
• 或者在模板所在仓库的权限设置中，给项目级构建服务账户添加读取权限。

4. 验证publishVstsFeed参数格式 #

确保YAML中publishVstsFeed的参数为正确格式：项目名称/Feed名称，例如：

publishVstsFeed: 'MyProject/MyNuGetFeed'

避免占位符或格式错误（如你代码中的<devops project/<devops feed>需替换为实际名称）。

5. 使用服务连接替代内置Feed授权 #

创建NuGet服务连接（关联目标Azure Artifacts Feed），修改push任务配置：

- task: DotNetCoreCLI@2
  displayName: Dotnet push nuget
  inputs:
    command: 'push'
    packagesToPush: 'Pub/*.nupkg'
    nuGetFeedType: 'external'
    publishFeedCredentials: '你的NuGet服务连接名称'

6. 检查Feed权限继承设置 #

如果Feed继承了组织级权限，可能导致项目级权限被覆盖：

• 进入Feed设置，关闭继承权限选项；
• 重新添加项目级构建服务账户的协作者权限。

内容的提问来源于stack exchange，提问作者Michele Ietri