TFS 2017：无法创建新分支问题求助

你遇到的这个权限问题确实有点棘手——明明用户在Project Administrators组，日常能正常读写Main分支，却在创建分支时触发Read权限不足的错误。除了你已经用过的tf vc perm /recursive，还有这些工具和方法可以帮你定位根因：

1. 细化tf vc permission命令输出 #

你已经用了递归检查，但可以试试加上/user:<用户名>和/explicit参数，只显示该用户的显式分配权限，排除组继承的干扰：

tf vc permission $/Project/Main /user:UserName /explicit /recursive

这个命令会过滤掉从组里继承的权限，只展示直接给该用户设置的权限项，有时候可能存在某个单独设置的权限（哪怕是允许项）意外覆盖了组权限的情况，再确认一遍准没错。

2. 检查分支专属权限与目标路径权限 #

创建分支不止需要Main分支的Read权限，还要确认两个关键点：

• 右键Main分支→属性→安全，确认用户（或其所在组）的Branch权限是否设为允许——有时候“全部权限”的勾选可能没覆盖这个细分项；
• 检查目标分支路径的权限，用命令查看用户在目标路径的权限配置：

tf vc permission $/Project/[你的目标分支路径] /user:UserName /recursive

毕竟创建分支需要在目标路径有写入权限，哪怕源路径权限没问题，目标路径受限也会报错。

3. 用PowerShell分析有效权限 #

TFS的PowerShell模块可以帮你计算用户的最终有效权限（组继承+显式设置的叠加结果），步骤如下：

# 先连接到你的TFS集合
Connect-TfsTeamProjectCollection -Uri http://你的TFS服务器地址:8080/tfs/集合名
# 获取用户在Main分支的有效权限
Get-TfsPermission -Path $/Project/Main -User UserName -Effective

这个结果会直观显示用户实际拥有的权限，能帮你发现是否有某个隐藏的组权限（比如某个限制型的全局组）悄悄限制了分支创建。

4. 查看TFS安全审计日志 #

如果你的TFS服务器开启了安全审计，可以：

• 本地TFS：打开Windows事件查看器，定位到应用程序和服务日志→Team Foundation Server，搜索该用户的操作记录；
• Azure DevOps云版本：进入组织设置→审核日志，筛选该用户的分支创建操作。
  日志会详细记录权限检查的全过程，包括哪个权限项被拒绝、是继承自哪个组还是显式设置，这几乎是定位权限问题的“终极武器”。

5. 模拟用户身份测试 #

你可以用RunAs命令模拟该用户的身份执行分支创建操作，排除本地凭据缓存的问题：

runas /user:域名\用户名 "tf vc branch $/Project/Main $/Project/新分支路径"

如果模拟后仍然报错，说明问题确实在权限配置上；如果成功了，大概率是用户本地的TFS凭据过期或错误，让用户去Windows凭据管理器里删除所有和TFS相关的凭据，重新登录即可。

6. 排查路径输入错误 #

有时候用户输入的分支路径格式有误（比如用了相对路径、拼写错误），导致TFS解析到了一个没有权限的路径。让用户直接复制粘贴完整的源路径$/Project/Main和目标路径再尝试，排除这种低级错误的可能。

内容的提问来源于stack exchange，提问作者Nico