如何从Azure DevOps私有NuGet源长期恢复NuGet包？

针对你的问题，核心是要替换短期会话令牌和个人PAT，改用非个人身份的长期认证方式，以下是几种可靠且适合团队场景的方案：

方案1：使用Azure DevOps服务连接（推荐） #

这是最适配团队协作的方式，完全脱离个人账号依赖，用项目级的服务连接统一管理凭据：

• 进入本地TFS的项目集合，打开项目设置 > 服务连接
• 点击新建服务连接，选择Azure DevOps Services类型
• 配置时选择服务主体认证（而非个人PAT），关联你的Azure DevOps组织和目标NuGet源所在的项目
• 完成创建后，回到NuGet Restore步骤，选择Feeds in my NuGet.config，在外部源凭据管理中直接选择这个新建的服务连接即可

这种方式的凭据绑定到服务主体，不会因为个人离职失效，还能通过Azure AD统一管理服务主体的权限，有效期可设置为长期（建议定期轮换凭据保障安全）。

方案2：配置NuGet.config使用Azure AD服务主体 #

如果你的组织使用Azure AD，可以创建专用服务主体来访问NuGet源：

1. 在Azure AD中创建应用注册（即服务主体），并为它授予Azure DevOps Artifacts源的读取权限
2. 获取该服务主体的客户端ID、客户端密钥和租户ID
3. 在本地TFS构建代理的NuGet.config文件中添加以下配置：

<packageSources>
  <add key="MyAzureFeed" value="https://pkgs.dev.azure.com/MyOrg/MyProject/_packaging/MyFeed/nuget/v3/index.json" />
</packageSources>
<packageSourceCredentials>
  <MyAzureFeed>
    <add key="Username" value="VssSessionToken" />
    <add key="ClearTextPassword" value="AZURE_AD_SERVICE_PRINCIPAL_TOKEN" />
  </MyAzureFeed>
</packageSourceCredentials>

你可以通过Azure CLI命令az account get-access-token --resource 499b84ac-1321-427f-aa17-267ca6975798获取针对Azure DevOps的长期令牌（这个资源ID是固定的），或者配置刷新令牌实现自动续期。

方案3：让NuGet Credential Provider自动刷新令牌 #

如果想继续使用CredentialProvider.VSS.exe，可以配置它自动维护有效令牌，无需手动操作：

• 确保构建代理上安装了最新版本的Azure Artifacts Credential Provider
• 删除构建步骤中手动运行CredentialProvider.VSS.exe -U的命令，让NuGet在restore时自动调用凭据提供者
• 设置环境变量VSS_NUGET_EXTERNAL_FEED_ENDPOINTS，格式如下：

{"endpointCredentials": [{"endpoint":"https://pkgs.dev.azure.com/MyOrg/MyFeed","username":"service-principal-id","password":"service-principal-secret"}]}

这样凭据提供者会自动使用服务主体的凭据获取长期有效令牌，无需手动更新。

为什么之前的方式会失效？ #

你之前用CredentialProvider.VSS.exe -U获取的是临时会话令牌（标记为VssSessionToken），这类令牌设计为短期有效（通常几小时），仅用于临时访问场景；而个人PAT虽可设置较长有效期，但确实依赖个人账号，不符合团队长期稳定使用的需求。

内容的提问来源于stack exchange，提问作者lightbricko