azure-devops - Azure DevOps 管道中的 Git 存储库权限问题

Question

在 Azure Pipelines 任务中，我正在尝试创建并推送一个新分支。我可以使用 $(System.AccessToken) 变量克隆 repo，当我尝试推送新分支时出现以下错误:

remote: TF401027: You need the Git 'GenericContribute' permission to perform this action. Details: identity 'Build\(GUID)', scope 'repository'.

如果我检查我的存储库安全性，我会看到构建服务用户和项目集合构建服务帐户组都有参与、创建分支、参与拉取请求和创建标签权限设置为“允许”，这来自所有我所做的研究就是我应该做的。

我该如何解决这个问题？我假设要么我遗漏了一些愚蠢的东西，要么存在权限继承问题。但是，如果我在存储库本身上设置安全性，我的假设是应该覆盖任何继承的权限。

管道:

steps:
- powershell: |
   git -c http.extraheader="AUTHORIZATION: bearer $(System.AccessToken)" clone "https://repoaddress/_git/common"
   cd common
   git checkout develop
   git checkout -b release/$(build.buildNumber) $(build.buildNumber)
   git -c http.extraheader="AUTHORIZATION: bearer $(System.AccessToken)" push -u origin HEAD
   
  displayName: 'Create Branch From Tag'

权限:

Answer 1

应该是你的构建服务账号没有这个仓库的contribute权限造成的。

进入Project setting --> Repositories --> 点击你要操作的Repos -->相应设置repository权限。

注意:服务账号为Project Collection Build Service(组织名称)

更新1

我得到了问题，添加此服务帐户 {project name} Build Service ({Org name}) 并配置帐户权限，它将起作用。

根据错误信息:Details: identity 'Build\(GUID)', scope 'repository'.，我们可以得到服务账号的GUID

检查这个REST API ，它可以列出服务帐户，我们可以通过GUID搜索服务帐户名称，然后配置权限。

更新2

由于您使用的是 AccessToken，它通过服务帐户更新存储库，作为另一种解决方法，我们可以使用个人访问 token 来做同样的事情，并且不需要配置服务帐户权限。

更新2

通过 PAT token 克隆存储库的示例 Power Shell 脚本:

$MyPat = 'yourPAT'
$B64Pat = [Convert]::ToBase64String([System.Text.Encoding]::UTF8.GetBytes(":$MyPat"))
git -c http.extraHeader="Authorization: Basic $B64Pat" clone https://dev.azure.com/yourOrgName/yourProjectName/_git/yourRepoName

我们将在 PAT 的生命周期内收到两个通知 - 一个在创建时，另一个在到期前 7 天。你可以引用这个doc了解更多详情。

在您的 PAT 到期前 7 天，您会收到类似于以下示例的通知。

然后我们可以更改过期时间。