如何通过API为VSTS端点分配Contributors组用户权限？

我之前碰到过完全类似的问题，你这里的核心误区是把readersGroup当成了用户权限的配置项，但实际上这个参数对应的是端点的只读权限，而你需要给Contributors组的是用户权限（允许使用端点执行部署等操作）——这俩权限逻辑完全不同，官方文档里的create/update端点API确实没讲清楚这部分，得用专门的权限API来处理。

问题根源 #

readersGroup参数仅控制哪些组/用户能查看这个端点的信息，而你需要的让Contributors组能调用、使用这个端点（对应权限角色是User），这个权限无法通过create/update端点的请求体直接设置，必须单独调用Service Endpoint Permissions API来分配。

解决方案步骤 #

1. 保留你现有的端点创建/更新逻辑（这部分你已经验证可以正常运行）
2. 获取目标项目Contributors组的descriptor（API权限分配需要用这个标识，而不是principalName）
3. 在端点创建/更新完成后，调用Permissions API给该组分配端点的User权限

修改后的脚本示例 #

在你现有的项目循环中，完成端点创建/更新后，添加以下权限分配逻辑：

# 假设$EndpointId是刚创建/更新的端点ID，$ProjectId是当前项目ID
# 获取当前项目Contributors组的descriptor
$ContributorGroup = $AllContributorsGroups | Where-Object { $_.principalName -eq "[$ProjectName]\Contributors" }
$GroupDescriptor = $ContributorGroup.descriptor

# 构造权限分配的JSON请求体
$PermissionBody = @"
{
  "resourceId": "$EndpointId",
  "userId": "$GroupDescriptor",
  "allowPermissions": 2 # 2对应User权限，1是Reader，4是Administrator
}
"@

# 调用权限API添加User权限
$PermissionURI = "$BaseURI/$ProjectId/_apis/serviceendpoint/endpoints/$EndpointId/permissions$APIVersion"
Invoke-RestMethod -Method POST -Uri $PermissionURI -Headers $Headers -Body $PermissionBody

权限值说明 #

• 1：Reader权限（只读，对应readersGroup的作用）
• 2：User权限（允许使用端点执行部署等操作，这正是你需要的）
• 4：Administrator权限（完全控制端点的所有操作）

额外排查点 #

• 确认你的Token拥有**Service Endpoints (manage)**权限，这是修改端点权限的必要权限
• 检查权限API的响应状态码，如果返回200 OK，说明操作成功，刷新Azure DevOps页面即可看到权限变化
• 如果是更新已有端点，若存在旧的冲突权限设置，可先调用DELETE接口删除旧权限，再重新添加新权限

内容的提问来源于stack exchange，提问作者Ross McLachlan