使用Azure DevOps服务主体连接Snowflake Git仓库遇克隆未授权错误

尝试使用服务主体（OAuth2）将Azure DevOps Git仓库连接到Snowflake，管理员提供了Azure应用注册的client_id、tenant_id和client_secret，执行了以下SQL命令：

CREATE OR REPLACE API INTEGRATION git_api_integration
  API_PROVIDER = git_https_api
  API_ALLOWED_PREFIXES = ('https://dev.azure.com/<organization>/<project>')
  API_USER_AUTHENTICATION = (
    TYPE = OAUTH2
    OAUTH_AUTHORIZATION_ENDPOINT = 'https://login.microsoftonline.com/<tenant_id>/oauth2/v2.0/authorize'
    OAUTH_TOKEN_ENDPOINT = 'https://login.microsoftonline.com/<tenant_id>/oauth2/v2.0/token'
    OAUTH_CLIENT_ID = '<client_id>'
    OAUTH_CLIENT_SECRET = '<client_secret>'
    OAUTH_ALLOWED_SCOPES = ('499b84ac-1321-427f-aa17-267ca6975798/.default')
  )
  ENABLED = TRUE;

CREATE OR REPLACE GIT REPOSITORY <db>.<schema>.<repo_name>
  API_INTEGRATION = git_api_integration
  ORIGIN = 'https://dev.azure.com/<organization>/<project>/_git/<repo>';

已确认的正确配置：

• Azure应用注册已授予以下API权限：user_impersonation、vso.code_manage、vso.code_status（Azure DevOps）和User.Read（Microsoft Graph）
• 服务主体已添加为Azure DevOps组织用户
• 服务主体在Azure DevOps项目设置→仓库→权限中拥有明确的Read和Contribute权限

错误发生在执行CREATE OR REPLACE GIT REPOSITORY命令时，而非拉取步骤。现疑问：

1. 使用API_USER_AUTHENTICATION块传递Azure DevOps的OAuth2凭证是否正确？
2. 还是应该使用单独的SECRET对象搭配GIT_CREDENTIALS？
3. 问题是否也可能出在服务主体未添加到Azure DevOps项目用户中？

1. API_USER_AUTHENTICATION块的使用是否正确？ #

不正确。Snowflake的API_INTEGRATION中API_USER_AUTHENTICATION配置的OAuth2是用户级别的交互式OAuth，用于终端用户通过浏览器授权Snowflake访问Git仓库，并不适用于服务主体的非交互式OAuth2认证场景。Azure DevOps服务主体需要的是客户端凭证流（Client Credentials Flow），这种场景下无法通过API_USER_AUTHENTICATION完成配置。

2. 是否应该使用SECRET搭配GIT_CREDENTIALS？ #

是。服务主体连接Azure DevOps Git仓库到Snowflake的正确方式，是结合Snowflake的SECRET和GIT_CREDENTIALS对象，通过客户端凭证流生成访问令牌：

• 先创建存储服务主体client_id和client_secret的SECRET对象
• 再创建GIT_CREDENTIALS，配置Azure AD的客户端凭证流参数
• 最后创建Git仓库时关联GIT_CREDENTIALS而非API_INTEGRATION

示例配置：

-- 创建存储client_id和client_secret的SECRET
CREATE OR REPLACE SECRET azdo_sp_client_id TYPE = STRING VALUE = '<client_id>';
CREATE OR REPLACE SECRET azdo_sp_client_secret TYPE = STRING VALUE = '<client_secret>';

-- 创建GIT_CREDENTIALS，使用Azure AD客户端凭证流获取令牌
CREATE OR REPLACE GIT CREDENTIALS azdo_sp_creds
  TYPE = OAUTH2
  OAUTH_CLIENT_ID = $azdo_sp_client_id
  OAUTH_CLIENT_SECRET = $azdo_sp_client_secret
  OAUTH_TOKEN_ENDPOINT = 'https://login.microsoftonline.com/<tenant_id>/oauth2/v2.0/token'
  OAUTH_SCOPE = '499b84ac-1321-427f-aa17-267ca6975798/.default';

-- 创建Git仓库
CREATE OR REPLACE GIT REPOSITORY <db>.<schema>.<repo_name>
  GIT_CREDENTIALS = azdo_sp_creds
  ORIGIN = 'https://dev.azure.com/<organization>/<project>/_git/<repo>';

3. 服务主体未添加到Azure DevOps项目用户是否会导致问题？ #

不会。你已经确认服务主体是组织用户，且在仓库权限中配置了Read和Contribute权限，这已经满足访问仓库的权限要求。服务主体不需要额外添加到项目用户列表，只要组织级身份和仓库级权限配置正确即可。

内容的提问来源于stack exchange，提问作者DrGenius