如何在TFS生成定义的内联PowerShell脚本中使用PAT执行PowerShell文件

核心前提说明 #

TFS 个人访问令牌（PAT）是仅面向 TFS 服务本身的身份验证凭证，可用于调用 TFS REST API、拉取托管代码、访问 TFS 制品等场景，无法直接作为 SQL Server 的登录凭证。你需要实现的「以 UserB 身份执行脚本访问 SQL」的需求，需结合 Windows 身份模拟或 SQL 认证逻辑处理，PAT 仅在脚本需要访问 TFS 资源时生效。

你提及的三个场景实现方式 #

1. 调用 PowerShell 脚本时直接使用 PAT #

该场景仅适用于调用脚本的动作本身需要 TFS 权限的情况，比如从 TFS 仓库拉取 XYZ.ps1 到本地执行：

# $pat 为提前获取的 UserB PAT
$headers = @{
    Authorization = "Bearer $pat"
}
# 从TFS git仓库拉取目标脚本
Invoke-RestMethod -Uri "https://你的TFS地址/项目名称/_apis/git/repositories/仓库名/items?path=/XYZ.ps1&api-version=7.0" -Headers $headers -OutFile "./XYZ.ps1"

如果你的目标是执行脚本时切换为 UserB 身份访问 SQL，不需要用到 PAT，直接用 UserB 凭证启动 PowerShell 进程执行脚本即可：

# UserB 密码提前加密存储在 TFS 秘密变量中，禁止明文硬编码
$securePwd = ConvertTo-SecureString $userB密码 -AsPlainText -Force
$cred = New-Object System.Management.Automation.PSCredential("域\UserB", $securePwd)
# 以 UserB 身份执行脚本，脚本内访问SQL默认走UserB的Windows集成认证权限
Start-Process powershell.exe -ArgumentList "-File ./XYZ.ps1" -Credential $cred -NoNewWindow -Wait

2. 将指定 PAT 传入 PowerShell 脚本后内部使用 #

如果你的 XYZ.ps1 内部需要调用 TFS 相关接口，可以将 PAT 作为参数传入脚本：

1. 先在 TFS 生成定义的变量库中新增秘密变量 UserB_PAT，勾选「保密」选项避免明文泄露
2. 在 PowerShell 任务的参数栏填入：-Pat $(UserB_PAT)
3. 在 XYZ.ps1 开头定义参数接收 PAT，内部调用 TFS 接口时使用：

param(
    [string]$Pat
)

# 脚本内部调用TFS API时携带PAT认证
$headers = @{
    Authorization = "Bearer $Pat"
}
Invoke-RestMethod -Uri "你的TFS接口地址" -Headers $headers

如果脚本内部仅需要访问 SQL，不需要传入 PAT，直接将 UserB 的 SQL 认证凭据作为秘密变量传入即可。

3. 其他 PowerShell 脚本中使用 PAT 的常见方式 #

• 用于 TFS 官方 CLI 认证：设置对应环境变量后，az devops、tf 等工具可自动读取 PAT 完成认证

$env:AZURE_DEVOPS_EXT_PAT = $Pat
# 无需额外输入认证信息即可查询TFS仓库列表
az repos list --organization https://你的TFS地址

• 用于 Git 操作认证：拉取 TFS 托管的 Git 仓库时，可将 PAT 直接嵌入远程地址

git clone https://任意用户名:$Pat@你的TFS地址/项目名称/_git/仓库名

适配你需求的最优方案 #

你要解决的是 UserA 无 SQL 访问权限的问题，无需使用 PAT，直接按以下步骤操作即可：

1. 在 TFS 生成定义的变量库中新增两个秘密变量：UserB_UserName（格式为域\用户名）、UserB_Password
2. 在 PowerShell 任务中用上文提到的 Start-Process 带 UserB 凭证的方式执行 XYZ.ps1，脚本内部访问 SQL 时走 Windows 集成认证，自动使用 UserB 的权限完成操作
3. 如果你的 SQL 实例使用 SQL 账号认证，直接将 UserB 的 SQL 账号、密码存储为 TFS 秘密变量，传入脚本后写入数据库连接字符串即可使用。

内容的提问来源于stack exchange，提问作者Anu7