禁用匿名认证的本地Azure DevOps服务器推荐代理配置方案是什么

针对公司安全政策不允许启用DevOps站点匿名认证的场景，可根据你的部署环境选择以下两种经过验证的代理配置方案：

方案1：域环境下使用Windows集成认证 #

• 确认代理运行使用的服务账户为Azure DevOps所在域的有效域账户，且该账户已被添加到对应代理池的代理池用户组，分配了读取、管理代理的权限
• 打开IIS管理器，定位到Azure DevOps部署对应的站点，进入「认证」设置页：
  • 确认已禁用匿名认证
  • 启用Windows 认证，禁用表单认证、摘要认证等其他非必要的认证方式
• 重新配置代理时，认证类型选择Integrated（集成认证），无需手动输入账号密码，代理会自动调用服务账户的身份凭证完成鉴权

方案2：非域/工作组环境使用PAT认证 #

• 登录Azure DevOps门户，生成个人访问令牌（PAT），权限范围勾选代理池（读取和管理），有效期按公司安全政策要求设置
• 进入IIS的Azure DevOps站点认证设置页，除禁用匿名认证外，额外启用基本认证，注意该场景下必须为DevOps站点配置HTTPS，避免凭证明文传输
• 重新配置代理时，认证类型选择PAT，粘贴此前生成的令牌即可完成身份校验

若配置完成后仍出现VS30063未授权报错，优先排查两个配置点：一是代理使用的身份（域账户/PAT）是否确实拥有对应代理池的访问权限；二是IIS是否为/_apis/前缀的DevOps API路径配置了额外的访问限制规则，拦截了代理的鉴权请求。

内容的提问来源于stack exchange，提问作者user2503480