如何从私有的 azure devops 提要中恢复 nuget 包？

Question

背景

我在 azure devops 的私人 nuget 提要中有 nuget 包，我尝试从本地 TFS 使用它们。

这有效，但只有几个小时

在 azure devops 中，我导航到 Artifacts -> Connect to feed 并单击链接“下载 NuGet + 凭据提供程序”。 运行CredentialProvider.VSS.exe -U URL_TO_FEED我得到了一个 jwt 令牌。

在本地 tfs 中，我导航到构建定义中的“NuGet 恢复”步骤。 在“订阅源和身份验证”中，我选择了“我的 NuGet.config 中的订阅源”，在“此帐户/集合之外的订阅源凭据”中，我单击了“管理”。 在“添加新的 Team Foundation Server/Team Services 连接”对话框中，我选择了“基于令牌的身份验证”并填写了值。 我将我从 CredentialProvider.VSS.exe 获得的令牌放在“个人访问令牌”字段中。

nuget 包被恢复，所以一切看起来都很好，但第二天它不再工作，因为令牌只在几个小时内有效（我对其进行了解码以验证）。

题

我该怎么做？ 使用“个人访问令牌”似乎很奇怪，因为它不应该与我个人有关（例如，如果我离开组织）。 CredentialProvider.VSS.exe 生成的令牌的用户名是 VssSessionToken，这可能表明它不是与我相关的个人令牌，但我不知道。

Answer 1

PAT（个人访问令牌）几乎是用于 Azure Artifacts 源的方式，因为它们是提供对 Azure DevOps 不同部分的访问的通用方法。

如果您担心它们是个人的，那么使用服务帐户生成令牌可能是一种解决方案。

如果您想要一个生命周期更长的 PAT，那么自己创建一个可能更容易（请参阅https://docs.microsoft.com/en-us/azure/devops/artifacts/nuget/nuget-exe?view=azure- devops&tabs=new-nav#add-a-feed-to-nuget-2说明）

简而言之，您将创建一个具有“包装（读取）”权限的 PAT，以限制滥用的可能性。

需要考虑的两件事：

• PAT 总是有一个到期日期，因此您需要对其进行跟踪。
• PAT 允许以创建它们的用户身份访问 Azure DevOps Api，因此请确保它们不可访问并尽可能限制权限。