无Full Access PAT如何调用Azure DevOps权限报告API？

apis/permissionsreport GET 是Azure DevOps的审计类高权限接口，你遇到的「勾选全部公开范围的PAT调用返回无消息体401、仅Full Access PAT可正常调用」是接口当前的固定鉴权逻辑，和你是否是项目集合管理员没有直接关系。

无需Full Access PAT的可行调用方案 #

• Azure AD OAuth客户端凭据流（推荐，完全绕开个人PAT权限限制）
  操作流程：
  1. 在对应组织绑定的Azure AD租户中注册应用，为应用授予Permissions Report - Read应用程序权限——这个权限是该接口专属的隐藏权限，不在PAT公开可选的权限范围内，Full Access PAT是默认携带该权限声明才可以调用接口
  2. 用注册应用的客户端ID、客户端密钥向Azure AD令牌签发端点请求访问令牌，令牌受众配置为https://app.vssps.visualstudio.com/
  3. 请求接口时在Header中携带Authorization: Bearer <拿到的访问令牌>即可正常调用，不需要绑定个人用户上下文，也不受AD管理员设置的个人Full Access PAT创建禁令限制
• Azure托管身份认证（适合自动化场景）
  如果你的调用逻辑运行在Azure资源上（比如虚拟机、函数应用、自动化账号），可以直接为资源开启系统/用户托管身份，给托管身份授予和上述OAuth应用一致的Permissions Report - Read权限，直接通过Azure实例元数据服务获取访问令牌调用即可，不需要手动维护密钥。
• 短时效令牌兜底方案
  如果AD管理员暂不允许注册应用，可以走组织内部的临时权限申请流程，申请创建短有效期（比如1小时）的Full Access PAT，跑完权限报告后立即吊销令牌，满足最小权限审计要求。

注意：不存在通过勾选更多公开PAT范围解决401的可能，该接口的鉴权逻辑会硬校验令牌是否携带专属的权限报告读取声明，公开范围的PAT无论勾选多少选项都不会携带该声明，必然鉴权失败。

内容的提问来源于stack exchange，提问作者Topper Kain