Azure DevOps跨组织调用流水线：如何避免每个流水线使用PAT令牌？

核心方案：用服务连接统一管理PAT #

完全可以将PAT令牌存入Azure DevOps服务连接，实现跨流水线复用，无需在每个流水线单独配置。具体操作步骤如下：

• 创建通用服务连接
  在第一个组织的项目（或组织级，按需选择权限范围）中创建「Generic」类型的服务连接：

  • 服务URL填写第二个组织的Azure DevOps地址，格式如https://dev.azure.com/[第二个组织名称]
  • 将第二个组织的PAT填入「Token/Password」字段
  • 给服务连接设置一个易识别的名称，比如「SecondOrgPipelineTrigger」

• 在流水线中引用服务连接
  在第一个组织的流水线YAML里，通过环境变量调用服务连接中的PAT，避免明文暴露。示例代码：

  steps:
  - task: PowerShell@2
    inputs:
      targetType: 'inline'
      script: |
        # 从服务连接获取PAT
        $pat = $(SecondOrgPipelineTrigger.TOKEN)
        $orgUrl = "https://dev.azure.com/SecondOrgName"
        $projectName = "目标项目名"
        $pipelineId = "目标流水线ID"
        
        # 构造触发请求体
        $body = @{
          definition = @{ id = $pipelineId }
        } | ConvertTo-Json
        
        # 调用REST API触发流水线
        Invoke-RestMethod -Uri "$orgUrl/$projectName/_apis/pipelines/$pipelineId/runs?api-version=7.1-preview.1" `
          -Method Post `
          -Headers @{ Authorization = "Basic $([System.Convert]::ToBase64String([System.Text.Encoding]::ASCII.GetBytes(":$pat")))" } `
          -Body $body `
          -ContentType "application/json"
    env:
      # 映射服务连接的令牌到环境变量
      SecondOrgPipelineTrigger.TOKEN: $(SecondOrgPipelineTrigger)
  

  该方式下PAT不会在流水线日志中明文显示，安全性更高。

• 配置必要权限

  • 确保第一个组织的流水线执行账号拥有使用该服务连接的权限
  • 第二个组织的PAT需具备「Build (read & execute)」权限，以触发目标流水线

简化替代方案：用Azure DevOps CLI替代REST API #

若不想编写复杂的REST API调用逻辑，可使用Azure DevOps CLI结合服务连接简化操作：

steps:
- task: AzureCLI@2
  inputs:
    azureSubscription: 'SecondOrgPipelineTrigger'
    scriptType: 'pscore'
    scriptLocation: 'inlineScript'
    inlineScript: |
      # 用服务连接的PAT登录第二个组织
      az devops login --organization https://dev.azure.com/SecondOrgName --token $(SecondOrgPipelineTrigger.TOKEN)
      # 触发目标流水线
      az pipelines run --organization https://dev.azure.com/SecondOrgName --project 目标项目名 --id 目标流水线ID

内容的提问来源于stack exchange，提问作者LDonSOvrfw