TFS配置Web Hook调用外部REST服务时出现401未授权错误

从你提供的响应信息来看，这个401错误的根源很明确——目标REST服务启用了Windows身份验证（NTLM/Negotiate），但TFS发送的Web Hook请求没有携带有效的身份凭证，导致被IIS服务器拦截拒绝。而且从响应头里的Server: Microsoft-IIS/7.5可以确认，请求已经成功到达了目标服务器，并不是你担心的“请求未命中API”哦。

下面是针对性的解决方案，按优先级排序：

• 给TFS Web Hook配置专用的Windows身份凭据
  在TFS的Web Hook设置界面，找到身份验证选项（不同版本的TFS位置略有不同，一般在创建/编辑页面的“高级”或“身份验证”区域），选择“Windows身份验证”，输入有权限访问目标API的域账户信息（格式为DOMAIN\用户名）和对应密码。这样TFS发送请求时会自动带上这些凭据，通过NTLM/Negotiate验证。

• 检查TFS服务账户的访问权限
  如果不想单独配置Web Hook凭据，可以确认运行TFS服务的账户（默认是TFSService）是否被添加到目标API所在服务器的权限组中，比如授予该账户访问目标网站/API的“读取”权限。这样TFS会用自身服务账户身份发起请求，只要权限足够就能通过验证。

• 验证目标API的身份验证逻辑
  先用Postman、curl等工具手动测试目标API，确保带上正确的Windows凭据时能正常访问。比如用curl命令测试：

  curl -u DOMAIN\用户名:密码 https://你的API地址
  

  如果手动测试也返回401，那问题可能出在目标API的权限配置上，需要检查IIS的身份验证设置是否正确开启了NTLM/Negotiate，以及对应的权限组是否配置正确。

• 排查Kerberos身份验证的潜在问题（如果用Negotiate）
  如果目标API优先使用Kerberos（响应头里的Negotiate标识），需要确保：

  • TFS服务器和目标API服务器在同一个Active Directory域，或者存在双向信任关系
  • TFS服务账户已经注册了正确的SPN（服务主体名称），避免Kerberos身份验证失败后回退到NTLM仍无法通过的情况

内容的提问来源于stack exchange，提问作者Relativity