如何从Azure DevOps Server(OnPrem)导出所有用户组及用户？

针对本地部署版Azure DevOps Server 2019的导出需求，可根据技术能力、自定义要求选择以下4种可行方案：

1. 内置Web UI直接导出（最简便，无代码要求） #

适合仅需要基础导出、不需要自定义字段的场景：

• 使用集合管理员权限的账号登录Azure DevOps Server 2019 web门户
• 进入目标项目集合，左下角点击「集合设置」
• 侧边栏找到「安全性」分类下的「组」选项
• 点击页面右上角的导出按钮，即可直接下载包含全量组信息的CSV文件
• 如需查看单个组的成员，点击对应组名称进入详情页后，同样可以导出成员列表CSV

2. Azure DevOps CLI命令行导出（适合轻量脚本化需求） #

需要提前安装适配2019版本的Azure DevOps CLI扩展，操作命令如下：

• 首先登录到目标实例：
  az devops login --org http://<你的Azure DevOps Server地址>/<目标集合名>
• 导出全量用户组列表到CSV：
  az devops security group list --org http://<你的Azure DevOps Server地址>/<目标集合名> --output csv > 全量用户组列表.csv
• 导出指定用户组的成员列表到CSV：
  az devops security group membership list --id <组的唯一描述符ID> --output csv > 某组成员列表.csv
• 如需批量导出所有组的成员，可写简单的shell/PowerShell循环遍历所有组ID批量执行即可

3. REST API自定义导出（适合有自定义字段、二次处理需求的场景） #

调用Azure DevOps Server 2019对应的5.1版本API即可，无需额外安装工具，用PowerShell/Python都可实现：

• 获取集合下全量用户组信息接口：
  GET http://<你的Azure DevOps Server地址>/<目标集合名>/_apis/groups?api-version=5.1
• 获取指定组的全量成员信息接口：
  GET http://<你的Azure DevOps Server地址>/<目标集合名>/_apis/groups/<组ID>/members?api-version=5.1
• 调用时请求头带上有权限账号的Personal Access Token（PAT）认证，解析返回的JSON结构后，可自行拼接导出为CSV、Excel等格式

4. 后台数据库直接查询导出（效率最高，适合超大体量实例） #

注意操作需要数据库只读权限，建议在生产库的只读副本上操作，避免影响业务：

• 连接到对应的集合数据库（一般库名格式为tfs_<你的集合名>）
• 关联查询两张核心表即可获取全量关联数据：
  • dbo.tbl_Identity：存储所有用户、用户组的基础身份信息
  • dbo.tbl_GroupMembership：存储用户组与成员的关联映射关系
• 编写SQL关联查询后，直接导出查询结果即可，该方式适合十万级以上身份数据的导出场景

注意事项 #

• 所有操作均需要集合管理员级别以上的权限才能获取全量数据
• 导出的身份信息属于敏感数据，需按照内部合规要求存储和使用

内容的提问来源于stack exchange，提问作者vsandy