Azure Pipeline使用System.AccessToken调用部署API报权限错误

问题场景 #

在Azure Pipeline Releases流程中配置「Azure PowerShell」任务触发其他发布的部署操作，任务配置参考：

脚本中通过$AzureDevOpsToken = $env:SYSTEM_ACCESSTOKEN获取系统访问令牌构造鉴权头：

$basicAuthValue = "Bearer $AzureDevOpsToken"
$headers = @{
    Authorization = $basicAuthValue
}

调用部署状态更新接口的代码如下：

$deploymentBody = @{
    status = "inProgress"
} | ConvertTo-Json
$urlDeployment = "https://vsrm.dev.azure.com/$Organization/$ProjectName/_apis/Release/releases/$ReleaseId/environments/$EnvironmentId`?api-version=5.1-preview.6"
$deployment = Invoke-WebRequest -Uri $urlDeployment -Method Patch -ContentType "application/json" -Headers $header -UseBasicParsing -Body $deploymentBody

运行后抛出权限错误：

VS402904: Access denied: User e3b793c5-a512-44b7-a704-878e8adb62e9 does not have manage deployments permission. Contact your release manager.

已确认勾选代理池配置中的「Allow scripts to access the OAuth token」选项，使用PAT鉴权可正常执行，但PAT明文配置存在安全风险，需要改用System.AccessToken完成鉴权。

根因说明 #

System.AccessToken对应的运行身份是项目/项目集合级的构建服务账号，开启OAuth令牌访问仅代表允许脚本读取该令牌，不代表该账号默认拥有操作所有发布管线的权限，报错的核心原因是该构建服务账号缺少目标发布管线的「管理部署」权限。

配置步骤 #

• 定位对应构建服务账号：报错信息中的IDe3b793c5-a512-44b7-a704-878e8adb62e9就是构建服务账号的唯一标识，直接在Azure DevOps权限配置的搜索框输入该ID即可找到对应账号，账号名称通常为{项目集合名} Build Service ({组织名})或{项目名} Build Service ({组织名})。
• 进入目标发布管线的权限配置页：打开你通过API要操作的目标发布管线（注意不是当前运行PowerShell脚本的发布管线），点击右上角的「安全性」选项进入权限配置界面。
• 授予对应权限：在权限配置页搜索并选中刚才定位到的构建服务账号，找到「管理部署」权限项，将其设置为允许。如果后续脚本需要扩展创建发布、修改环境配置等操作，可以同步将「管理发布」「编辑发布管道」权限设置为允许，避免后续触发其他权限报错。
• 跨项目调用额外配置：如果当前运行脚本的管线和目标发布管线不在同一个项目下，需要先进入目标项目的「项目设置-权限-用户」页面，确认构建服务账号已被添加到目标项目中，再执行上述权限配置操作。

注意事项 #

• 你的脚本存在变量名笔误：构造鉴权头的变量名为$headers，但调用Invoke-WebRequest时传入的是$header（末尾少了s），权限配置完成后注意修正该笔误，避免出现空请求头的额外报错。
• 权限配置生效通常有1-2分钟的延迟，配置完成后不要立刻重跑任务，稍等片刻再排队运行即可。

内容的提问来源于stack exchange，提问作者Filipa