Azure中Service Connection的用途是什么？能否用于调用REST API运行Pipeline？

1. 创建Service Connection后能否获取对应client id与secret换取access token？ #

分两种情况：

• 如果创建的是自动生成服务主体（Service Principal）模式的Azure Resource Manager类型Service Connection：你可以在Service Connection的详情页直接查到client id（应用程序ID）、租户ID、订阅ID信息，但无法获取系统自动生成的client secret明文——secret是加密存储在Azure DevOps服务端的，只供内置Pipeline任务调用，不会对外返回。如果你确实需要使用这个服务主体的凭据，可以持对应Azure AD目录权限，到Azure AD中找到该服务主体手动生成新的client secret使用。
• 如果创建的是手动填写服务主体信息模式的Service Connection：client id和secret本身就是你创建时自行录入的，你自然持有完整凭据，可以直接用来换取access token。

2. 能否用获取到的access token通过C#代码调用REST API运行Azure Pipeline？ #

可以，但要注意token的受众匹配问题：

• 如果你用服务主体换取的是面向Azure资源管理（https://management.azure.com）的access token，是无法调用Azure DevOps接口的，这类token只用于操作Azure订阅下的云资源。
• 你需要换取受众为https://app.vssps.visualstudio.com/的access token，同时提前给对应的服务主体分配目标Azure DevOps项目中Pipeline的执行权限，就可以正常调用REST API触发Pipeline运行。
  核心实现参考代码如下：

using Microsoft.Identity.Client;
using System.Net.Http.Headers;
using System.Text;

// 初始化凭据配置
var clientId = "服务主体对应的Client ID";
var clientSecret = "你持有的Client Secret";
var tenantId = "Azure AD租户ID";
var orgName = "你的Azure DevOps组织名";
var projectName = "目标项目名";
var pipelineId = 目标Pipeline的数字ID;

// 构建客户端凭据模式的认证客户端
var confidentialClient = ConfidentialClientApplicationBuilder
    .Create(clientId)
    .WithClientSecret(clientSecret)
    .WithAuthority($"https://login.microsoftonline.com/{tenantId}")
    .Build();

// 申请Azure DevOps资源范围的访问令牌，注意不能用ARM的scope
var authResult = await confidentialClient.AcquireTokenForClient(
    new[] { "https://app.vssps.visualstudio.com/.default" }
).ExecuteAsync();

// 发起Pipeline运行请求
using var httpClient = new HttpClient();
httpClient.DefaultRequestHeaders.Authorization = 
    new AuthenticationHeaderValue("Bearer", authResult.AccessToken);
var requestBody = new StringContent(
    "{\"resources\":{\"repositories\":{\"self\":{\"refName\":\"refs/heads/main\"}}}}",
    Encoding.UTF8,
    "application/json"
);
var apiUrl = $"https://dev.azure.com/{orgName}/{projectName}/_apis/pipelines/{pipelineId}/runs?api-version=7.1-preview.1";
var response = await httpClient.PostAsync(apiUrl, requestBody);
// 可自行读取response判断运行请求是否提交成功

3. 上述使用方式是否属于Service Connection的标准应用场景？ #

不属于标准场景。
Service Connection的设计定位是为Azure Pipelines内置任务提供托管的授权上下文，让Pipeline运行过程中无需硬编码凭据即可访问Azure资源、第三方服务，所有凭据的生命周期管理（比如自动轮换过期secret）、权限管控都是由Azure DevOps平台托管的。
你自行提取Service Connection背后的服务主体凭据、脱离Pipeline上下文调用API的用法属于非标准实践，存在几个明确的问题：

• 自动生成的服务主体secret由平台托管轮换，你自行生成的secret过期后需要手动维护，平台不会同步更新
• 凭据脱离Azure DevOps的管控边界后，泄露风险由使用者自行承担，官方不推荐这类复用方式
• 如果有程序化触发Pipeline的需求，标准做法是单独创建专用的服务主体或使用范围受限的个人访问令牌（PAT）做认证，不要复用Service Connection关联的凭据。

补充：如果你的代码本身就是在Pipeline运行上下文中执行的，根本不需要手动获取client id/secret换token，直接使用Pipeline内置的System.AccessToken变量即可调用Azure DevOps REST API，这才是官方支持的标准用法。

内容的提问来源于stack exchange，提问作者Learner