如何在TFS 2017中配置Build Agent并限制其使用（含单个Team Project）
我来一步步帮你搞定TFS 2017里配置Build Agent并限制到单个Team Project的事儿，分配置Agent、限制使用范围、锁定权限到目标项目三个核心部分：
一、先搞定Build Agent的基础配置
下载Agent安装包
登录TFS服务器，点击右上角的齿轮图标进入设置界面，选择「Agent pools」，然后点击页面上的「下载代理」按钮，根据你的Agent运行系统（Windows/Linux/macOS）下载对应版本的压缩包。解压并配置Agent
- 把压缩包解压到你指定的工作目录，比如Windows下可以放
C:\TFSAgents\ProjectXAgent - 运行配置脚本：Windows执行
config.cmd，Linux/macOS执行config.sh - 跟着向导走：输入TFS服务器的完整URL（比如
http://tfsserver:8080/tfs/CollectionName），选择要加入的Agent池（建议后续新建专属池，这里可以先选临时池，之后再迁移），设置Agent名称、工作目录，最后选择运行方式（Windows推荐设为服务自动启动，Linux可以用systemd托管）。
- 把压缩包解压到你指定的工作目录，比如Windows下可以放
启动Agent
配置完成后，Windows下可以通过服务管理器启动「Visual Studio Team Foundation Build Agent」服务；Linux下直接运行run.sh，或者配置systemd服务让它开机自启。
二、限制Agent的使用范围到单个Team Project
核心思路是给目标项目创建专属的Agent池和Build队列，避免其他项目调用：
创建专属Agent池
回到TFS设置的「Agent pools」页面，点击「新建池」，命名比如ProjectX-Build-Pool，描述写清楚「仅用于ProjectX项目的构建任务」，然后保存。把Agent迁移到专属池
在原来的Agent池里找到刚配置的Agent，选中它后点击「移动」按钮，选择刚才新建的ProjectX-Build-Pool，完成迁移。创建项目专属Build队列
进入TFS的「Build & Release」→「Builds」页面，点击顶部的「队列」选项卡，然后点击「新建队列」：- 队列名称设为
ProjectX-Build-Queue - 选择刚才的
ProjectX-Build-Pool作为关联的Agent池 - 在「项目」下拉菜单里直接选择你的目标Team Project（比如
ProjectX） - 保存后，这个队列就只属于
ProjectX了，其他项目看不到也用不了。
- 队列名称设为
三、锁定权限，确保只有目标项目能使用该Agent
光有专属池还不够，得通过权限设置彻底把其他项目挡在外：
配置Agent池的权限
进入ProjectX-Build-Pool的「安全」选项卡：- 先移除默认的「Project Collection Valid Users」组（或者把该组的「使用池」权限设为「拒绝」，注意别影响其他池）
- 添加目标项目的「Project Administrators」组，或者你指定的项目成员组，给他们「使用池」「管理池」等必要权限（根据需要调整，一般「使用池」就够了）
- 确保其他项目的用户/组在这个池里没有任何允许的权限。
配置Agent运行账户的项目权限
Agent运行时使用的账户（Windows服务账户/Linux运行用户）需要有目标项目的构建权限：
进入ProjectX项目的「设置」→「安全」页面：- 添加Agent的运行账户，给它分配「生成服务」角色（这个角色包含了构建所需的基本权限）
- 如果需要访问项目的源代码仓库（Git/TFVC），还要在仓库的权限设置里给该账户添加「读取」权限
- 关键：在其他所有Team Project的安全设置里，确保这个账户没有任何权限（或者直接设为拒绝）。
测试验证
用其他项目的普通用户尝试创建构建定义并选择ProjectX-Build-Queue，应该会收到权限不足的提示；而ProjectX的用户则可以正常排队构建，Agent也能正常执行任务。
内容的提问来源于stack exchange，提问作者Bill Greer
