Azure DevOps Webhook触发设为“租户内特定用户”的Power Automate流时的身份验证问题

我完全理解你遇到的麻烦——想用单个Power Automate流接收多个Azure DevOps项目的Webhook触发，同时又不想把权限放开给所有人，但设置「租户内特定用户」后就出现了401未授权错误。这本质上是因为当你把触发器权限限制为特定用户/主体时，Power Automate会要求请求必须携带有效的Azure AD身份验证令牌，而Azure DevOps默认的Webhook请求是没有这个令牌的，自然就被权限拦截了。

下面给你几个贴合需求的解决思路，按推荐程度排序：

方案1：使用Azure AD服务主体作为允许的触发主体（最贴合需求） #

这个方法是把一个Azure AD应用程序（服务主体）加入到Power Automate触发器的允许列表，然后让Azure DevOps的Webhook请求携带这个服务主体的身份令牌：

1. 注册Azure AD应用程序

   • 登录Azure门户，进入「Azure Active Directory」→「应用注册」→「新注册」，给应用起个好记的名字（比如「ADO-PowerAutomate-Webhook」），完成注册后记录下客户端ID和租户ID。
   • 进入应用的「证书和机密」，生成一个新的客户端密码（选择「客户端密码」类型，设置合适的有效期），务必保存好这个密码（后续只能查看一次）。

2. 将服务主体添加到Power Automate触发器的允许列表

   • 回到你的Power Automate流，打开「当收到HTTP请求时」的触发器设置，在「谁可以触发此流？」选择「我的租户中的特定用户」。
   • 点击「添加人员」，搜索你刚才注册的应用程序名称，把它添加到允许列表里。

3. 让Azure DevOps Webhook携带服务主体令牌

   • 这里的关键是要让Azure DevOps的Webhook请求带上有效的Bearer令牌。因为Azure DevOps本身不支持自动获取和刷新令牌，你可以做个简单的中间层：
     • 创建一个Azure函数（或者用另一个轻量的Power Automate流），这个中间层的作用是用刚才注册的服务主体信息，通过Azure AD的客户端凭据流获取令牌，然后将请求转发到你的Power Automate HTTP端点。
     • 把Azure DevOps的Webhook目标地址改成这个中间层的地址，这样请求经过中间层时会自动带上合法的令牌，就能通过Power Automate的权限验证了。
   • 如果你不想用中间层，也可以手动获取令牌（用Postman调用https://login.microsoftonline.com/{租户ID}/oauth2/v2.0/token，grant_type设为client_credentials，client_id、client_secret填你保存的值，scope设为https://service.flow.microsoft.com/.default），然后把令牌加到Azure DevOps Webhook的请求头里（添加Authorization: Bearer {你的令牌}）。但要注意令牌有有效期（一般1小时），所以需要定期手动或自动更新。

方案2：改用API密钥验证（更简单的替代方案） #

如果你的核心需求是保障安全而非严格的「特定用户」身份验证，可以考虑用API密钥的方式：

• 在Power Automate的HTTP触发器里，不设置「特定用户」，而是在请求头里自定义一个密钥（比如X-API-Key: 你的随机复杂密钥）。
• 在流的第一步添加一个「条件」动作，检查请求头里的X-API-Key是否和你预设的一致，不一致就终止流并返回401。
• 在Azure DevOps的Webhook设置里，添加这个自定义请求头和对应的值。
  这种方式配置简单，也能达到限制只有知道密钥的请求才能触发流的效果，而且不需要处理Azure AD令牌的有效期问题。

为什么你之前加的aud/iss头没用？ #

你之前尝试添加的aud和iss头其实不是Power Automate验证身份的正确方式——Power Automate需要的是完整的Azure AD JWT令牌，而不是单独的声明字段。只有当请求携带了签名合法、受众正确（aud为https://service.flow.microsoft.com/）、发行者正确（iss为https://sts.windows.net/{你的租户ID}/）的Bearer令牌时，才能通过「特定用户」的权限验证。

备注：内容来源于stack exchange，提问作者vc329