如何在Azure Data Factory中使用PAT调用Azure DevOps Services REST API

认证逻辑说明 #

Azure DevOps REST API原生支持个人访问令牌（PAT）的基础认证模式，无需额外申请ClientID、ClientSecret即可完成认证：
基础认证的构造规则为：将任意字符串:你的PAT完整字符串进行Base64编码，最终请求头中Authorization字段的值格式为Basic 编码后的字符串，拼接时冒号为英文半角冒号，前面的任意字符串可随便填写，无实际校验逻辑。

ADF Web活动具体配置步骤 #

• 第一步（生产环境必须）：将PAT存入Azure Key Vault的机密项中，在ADF中配置对应Key Vault的链接服务，通过「获取机密」活动提前拉取PAT值，避免硬编码泄露凭证。
• 第二步：配置Web活动核心参数
  • URL：填入需要调用的Azure DevOps REST API接口地址
  • 方法：根据接口要求选择GET/POST/PUT等对应类型
  • 身份验证类型：选择匿名（ADF Web活动未内置基础认证配置项，选择匿名不会覆盖我们手动构造的认证请求头）
  • 请求头（Headers）添加两个固定参数：
    • Content-Type：值为application/json
    • Authorization：值通过动态表达式构造，示例如下：
      从Key Vault获取PAT的场景：

      @concat('Basic ', base64(concat('testuser:', activity('Get PAT from KV').output.value)))
      

      临时测试硬编码PAT的场景（不推荐生产使用）：

      @concat('Basic ', base64(concat('testuser:', '替换为你的实际PAT值')))
      

• 第三步：如果调用的是POST/PUT等需要传参的接口，在「正文」栏填入对应接口要求的JSON格式请求参数即可。

常见校验点 #

• 提前确认你的PAT已经开启了对应接口所需的权限，比如读取工作项需要分配工作项读取权限，拉取流水线运行记录需要分配流水线读取权限
• 确认API地址中的组织名称、项目名称、API版本号填写正确，建议使用6.1及以上稳定版本的API

内容的提问来源于stack exchange，提问作者Sree Nair