如何使用Azure服务主体调用Azure DevOps流水线REST接口

前置校验 #

在发起调用前先确认2个前提，避免后续出现权限报错：

• 对应服务主体已经被添加到目标Azure DevOps组织/项目的权限列表中，至少授予构建执行权限
• 提前准备好必要参数：Azure AD租户ID、服务主体Client ID、服务主体Client Secret、目标流水线触发URL

方式1：Postman调用步骤 #

整个调用分两步走，先拿访问令牌，再触发流水线：

1. 获取Azure AD访问令牌
   新建POST请求，请求地址填https://login.microsoftonline.com/<替换为你的租户ID>/oauth2/v2.0/token
   请求体选择x-www-form-urlencoded类型，添加以下键值对：
   • grant_type：固定值client_credentials
   • client_id：替换为你持有的服务主体客户端ID
   • client_secret：替换为你持有的服务主体客户端密钥
   • scope：固定值499b84ac-1321-427f-aa17-267ca6975798/.default

   注意：scope里的GUID是Azure DevOps的固定资源标识，不要随意修改，否则生成的令牌无DevOps访问权限
   发送请求后，从响应体中提取access_token字段的值，就是后续调用需要的认证凭证。

2. 触发目标流水线
   新建POST请求，请求地址填你已注册的流水线触发URL：https://dev.azure.com/xxx/xxx/xxx.This
   添加2个请求头：
   • Authorization：值为Bearer <上一步提取到的access_token>
   • Content-Type：值为application/json
     如果触发流水线需要传递自定义参数，按照Azure DevOps API要求的JSON格式把参数放到请求体中即可，无参数需求时请求体可留空，请求返回200/201状态码即代表触发成功。

方式2：Azure Logic Apps调用步骤 #

用Logic Apps做无代码编排的流程如下：

1. 新建Logic App资源，先选择你需要的触发规则（比如定时触发、上游服务HTTP触发、Blob存储事件触发等，按需选择即可）
2. 添加第一个HTTP操作，用于获取访问令牌：
   • 请求方法选POST
   • URI填https://login.microsoftonline.com/<替换为你的租户ID>/oauth2/v2.0/token
   • 请求头添加Content-Type: application/x-www-form-urlencoded
   • 请求体填入和Postman步骤中一致的表单键值对，注意Client Secret这类敏感值不要硬编码，建议存到Logic Apps集成账户或者Azure Key Vault中引用
3. 添加第二个HTTP操作，用于触发流水线：
   • 请求方法选POST
   • URI填你的流水线触发URL
   • 请求头添加两个字段：
     • Authorization：值为Bearer @{body('第一步HTTP操作的名称')?['access_token']}，用表达式动态引用上一步拿到的令牌
     • Content-Type：值为application/json
   • 请求体按需填入需要传给流水线的JSON参数即可
4. 保存Logic App流程后手动触发一次测试，查看运行历史，确认两个HTTP动作都返回成功状态码即配置完成。

常见报错排查 #

• 获取令牌阶段报错：优先检查租户ID、Client ID、Client Secret是否填写正确，确认服务主体在对应Azure AD租户下处于启用状态
• 触发流水线返回401：检查scope参数是否填写正确，确认引用的access_token没有过期（客户端凭据流生成的令牌默认有效期为1小时）
• 触发流水线返回403：进入Azure DevOps项目的权限设置页，确认服务主体已经被加入项目成员列表，且被授予了对应流水线的执行权限。

内容的提问来源于stack exchange，提问作者kushma gonna