如何将OAuth2身份验证用于DevOps REST services API-服务到服务？

Question

我试图代表应用程序，而不是登录到它的用户，从我的应用程序到ADO，执行一个服务到服务的ADO REST调用。

Microsoft提供RESTAPI来执行创建发布管道之类的操作。请参见此处：

https://docs.microsoft.com/en-us/rest/api/azure/devops/release/releases/create?view=azure-devops-rest-5.1#安全

这里的文档非常混乱，因为它将Oauth 2流称为“accessCode”，据我所知，它不是任何有效类型流的名称。

在调用API的主文档中

https://docs.microsoft.com/en-us/azure/devops/integrate/get-started/authentication/oauth?view=azure-devops公司

它说请求主体应该是这样的：

client_assertion_type=urn:ietf:params:oauth:client-assertion-type:jwt-bearer&client_assertion={0}&grant_type=urn:ietf:params:oauth:grant-type:jwt-bearer&assertion={1}&redirect_uri={2}

哪里

{0}：注册应用时获取的URL编码客户端机密

{1} ：通过代码查询参数向回调URL提供的URL编码的“代码”

{2} ：在应用程序中注册的回调URL

这与创建版本（第一个链接）的文档不一致，其中指出：

类型：oauth2流：访问代码

授权URL：https://app.vssps.visualstudio.com/oauth2/authorize

令牌URL：https://app.vssps.visualstudio.com/oauth2/token?client_assertion_type=urn:ietf:params:oauth:client-断言类型：jwt承载

那么首先，有人知道哪些文档是正确的吗，第一个文档还是第二个文档？

其次，如何使服务到服务从我的应用程序调用，代表应用程序而不是用户调用这些API？

我不希望应用程序的用户拥有在应用程序中创建版本的权限，因为许多人甚至不是ADO用户，更不用说拥有创建版本的权限了。

我原以为API会支持Oauth 2授予类型的client\u凭据（授权代码授予），但在ADO REST服务的文档中，我看不到这方面的任何示例。

Answer 1

要验证web应用用户的REST API访问权限，应遵循以下文档：

https://docs.microsoft.com/en-us/azure/devops/integrate/get-started/authentication/oauth?view=azure-devops公司

首先，注册Web应用并从Azure运营模式服务获取应用ID。使用该应用ID，将用户发送到Azure运营模式服务，以授权应用访问其组织。接下来，使用该授权获取该用户的访问令牌。为该用户调用Azure运营模式服务API时，请使用该用户的访问令牌。