如何解决Azure Pipelines PAT已过期报错及定位对应过期令牌

报错信息 #

id: "1"
errorCode: 0
eventId: 3000
innerException: null
message: "Access Denied: The Personal Access Token used has expired."
typeKey: "PipelineValidationException"
typeName: "Microsoft.Azure.Pipelines.WebApi.PipelineValidationException, Microsoft.Azure.Pipelines.WebApi"

可能的触发原因 #

• 实际调用的PAT和你校验的不是同一个：流水线全链路可能关联多个PAT，包括服务连接绑定的、变量组存储的、任务硬编码的、仓库拉取用的，你确认有效期的PAT不一定是报错环节调用的令牌
• PAT权限范围不符合要求：部分Azure DevOps版本会把权限不足的PAT报错误返回为过期提示，你可以检查对应PAT是否开启了流水线、代码库、制品库等对应操作的权限
• 组织PAT策略截断了有效期：如果管理员近期更新了组织级PAT最大有效期策略，此前创建的、有效期超过新策略限制的PAT会被系统强制失效，即使个人页面显示仍在有效期也无法正常使用
• 流水线侧缓存了旧令牌：你更新了相关PAT后，没有重启自托管代理、没有更新对应服务连接，流水线仍在调用缓存的旧过期令牌
• 中间代理篡改了请求头：如果流水线请求走了内部代理服务器，代理层可能误把其他服务的过期PAT附加到当前请求中，导致鉴权失败

定位排查方法 #

• 排查所有关联服务连接：进入项目设置→服务连接，逐个验证所有和Azure DevOps、代码仓库、制品库相关的服务连接，失效的服务连接会直接返回报错
• 检查所有PAT相关变量：遍历流水线变量组、单流水线yaml配置、全局变量，搜索所有带PAT、token、认证、密钥关键词的变量，确认是否有硬编码的过期令牌
• 校验PAT实际生效状态：进入个人设置→个人访问令牌，找到对应PAT点击编辑保存，若弹出有效期超过组织限制的提示，按要求调整有效期后重新生成即可
• 开启调试日志重跑流水线：新增流水线变量system.debug，值设为true后重跑流水线，调试日志会明确打印报错前调用的接口、关联的服务连接ID或变量名，可直接定位到异常令牌的来源
• 排查自托管代理配置：如果使用自托管代理，登录代理节点检查环境变量、代理配置文件中是否存储了旧PAT，重启代理服务后再重试

内容的提问来源于stack exchange，提问作者asolvent