能否使用托管标识通过HttpClient发起HTTP调用？如何实现？

完全可行。使用托管标识调用Azure DevOps REST API是官方支持的认证方案，相比PAT不需要手动轮换、存储凭据，安全风险更低，适合生产环境使用。

• 给发起调用的Azure宿主资源（包括但不限于App Service、Function App、虚拟机、AKS集群、自动化账户）开启托管标识，可选系统分配托管标识或用户分配托管标识。
• 将上一步开启的托管标识添加到目标Azure DevOps组织中，按照业务需求分配对应接口的访问权限（权限范围和你之前使用的PAT保持一致即可，比如读取项目列表就分配项目集合级别的"查看项目信息"权限）。
• 给你的项目安装官方NuGet包Azure.Identity，不要自己手写逻辑请求IMDS元数据端点拿令牌，官方库已经处理了令牌缓存、过期刷新、不同宿主环境适配、异常重试等逻辑，稳定性更高。

注意和原有PAT方案的核心差异：认证方式从Basic认证改为Bearer令牌认证，令牌由托管标识凭据类自动获取，Azure DevOps对应的令牌资源ID固定为499b84ac-1321-427f-aa17-267ca6975798，不要修改为其他值。

using Azure.Identity;
using System.Net.Http.Headers;

// 注意：异步方法不建议用async void，返回值统一用Task即可
public static async Task GetProjects()
{
    try
    {
        // 初始化托管标识凭据
        // 如果使用系统分配托管标识，直接无参构造即可
        var credential = new ManagedIdentityCredential();
        // 如果使用用户分配托管标识，传入对应标识的客户端ID即可，示例：
        // var credential = new ManagedIdentityCredential(clientId: "你的用户分配托管标识客户端ID");

        // 请求Azure DevOps服务对应的访问令牌
        var token = await credential.GetTokenAsync(
            new Azure.Core.TokenRequestContext(
                new[] { "499b84ac-1321-427f-aa17-267ca6975798/.default" }));

        using (HttpClient client = new HttpClient())
        {
            client.DefaultRequestHeaders.Accept.Add(
                new MediaTypeWithQualityHeaderValue("application/json"));

            // 替换原有Basic认证逻辑为Bearer令牌认证
            client.DefaultRequestHeaders.Authorization = new AuthenticationHeaderValue(
                "Bearer", token.Token);

            // 建议显式指定api-version参数，避免默认版本不一致返回异常结果
            using (HttpResponseMessage response = await client.GetAsync(
                        "https://dev.azure.com/{organization}/_apis/projects?api-version=7.1"))
            {
                response.EnsureSuccessStatusCode();
                string responseBody = await response.Content.ReadAsStringAsync();
                Console.WriteLine(responseBody);
            }
        }
    }
    catch (Exception ex)
    {
        Console.WriteLine(ex.ToString());
    }
}

• 本地调试时，ManagedIdentityCredential会自动 fallback 到本地的Azure开发凭据（比如Visual Studio登录账号、Azure CLI登录账号、VS Code登录账号），不需要修改代码就能完成本地调试，只要本地登录的账号有对应Azure DevOps组织的访问权限即可。
• 令牌的缓存、过期自动刷新逻辑已经由Azure.Identity库内置实现，不需要手动写逻辑判断令牌过期时间。
• 如果调用接口返回401错误，优先检查托管标识是否已经被添加到Azure DevOps组织、分配的权限是否覆盖当前调用的接口范围。

内容的提问来源于stack exchange，提问作者Learner