是否可使用service principal访问Azure上托管的Git代码仓库？

是的，可以直接使用Azure服务主体（Service Principal）替代PAT、SSH密钥完成Azure Repos的Git身份验证，这也是外部自动化场景下更安全的凭据方案，具体操作步骤如下：

1. 配置服务主体权限 #

• 在Azure AD中创建服务主体，无需为其分配任何Azure资源的RBAC权限，创建完成后记录三个核心参数：客户端ID(Client ID)、客户端密钥(Client Secret)、租户ID(Tenant ID)，妥善保管避免泄露
• 进入对应Azure DevOps组织的用户管理页面，添加该服务主体为组织用户，分配基础访问层级即可
• 进入目标代码仓库的安全设置页，为该服务主体仅分配存储库读取权限即可满足git pull需求，无需授予更高权限

2. 获取Git身份验证令牌 #

服务主体不能直接使用客户端密钥作为Git密码，需要先调用Azure AD OAuth接口获取短期访问令牌，令牌默认有效期为1小时，可自动刷新。令牌获取命令示例：

curl -X POST \
  https://login.microsoftonline.com/<替换为你的租户ID>/oauth2/v2.0/token \
  -H 'Content-Type: application/x-www-form-urlencoded' \
  -d 'client_id=<替换为服务主体客户端ID>&client_secret=<替换为服务主体客户端密钥>&grant_type=client_credentials&scope=499b84ac-1321-427f-aa17-267ca6975798/.default'

调用返回结果中的access_token字段即可用于后续Git操作的身份验证。

3. 执行Git拉取操作 #

拉取代码时，Git用户名填服务主体的客户端ID，密码填上一步获取的access_token即可，拉取示例：

git clone https://<服务主体客户端ID>:<获取到的access_token>@dev.azure.com/<你的Azure DevOps组织名>/<项目名>/_git/<仓库名>

如果是已存在的本地仓库，可以配置Git凭证助手自动完成令牌获取、刷新逻辑，无需手动修改仓库地址。

该方案相比使用固定PAT有明显安全优势：服务主体密钥可设置固定过期时间，权限可细粒度管控到单个仓库，且不和具体员工账号绑定，人员变动无需更换自动化凭据。

内容的提问来源于stack exchange，提问作者fshabashev