通过 CLI 获得 Azure DevOps 的组权限

Question

我想从 Azure DevOps 中的每个项目的项目管理员角色中删除 DELETE（删除项目）权限。这是我正在运行的 CLI 命令。一切顺利，没有错误。但是，当您返回并在 Web 上查看时，权限不会受到影响。有什么想法吗？

$org = "myOrg"
$orgUrl = "https://dev.azure.com/$org"

$projName = "myProject"
$group = "Project Administrators"

$projId = az devops project list --org "$orgURl" -o json --query "value[?@.name == '$projName'].id | [0]"
$projToken = '$PROJECT:vstfs///Classification/TeamProject/'+$projId
$projToken = $projToken -Replace '"', ""

$subject = az devops security group list --org "$orgUrl" --scope organization -o json --subject-types vssgp --query "graphGroups[?@.principalName == '[$projName]\$group'].descriptor | [0]"

$namespaceId = az devops security permission namespace list -o json --org "$orgUrl" --query "[?@.name == 'Project'].namespaceId | [0]"

$bit = az devops security permission namespace show -o json --namespace-id $namespaceId --org "$orgUrl" --query "[0].actions[?@.name == 'DELETE'].bit | [0]" 

az devops security permission update --id $namespaceId --subject $subject --token $projToken --deny-bit $bit --org "$orgUrl" --merge true

输出是： PS Screenshot

知道我做错了什么吗？

提前致谢， 杰克

Answer 1

知道我做错了什么吗？

项目管理员组拥有团队项目级别的最高权限。因此，关于该组的项目权限（Project Settings=>Permissions）不可编辑：

根据设计，项目管理员始终有权删除团队项目。

除了Project Administrators组，其他组的权限都是可编辑的，见：

1.如果你想添加一个成员到Project Administrator组，他删除项目的权限不能被删除。

（无论我们使用哪种方式，网页、Azure Devops Rest Api、az devops cli 命令或其他方式，这些都不起作用，因为这是设计使然）

2.如果您确实想授予项目管理员应具有的大多数权限，但删除团队项目权限除外，您可以尝试创建一个新组（在项目设置=>权限页面）并授予该组所有权限除了删除团队项目权限，类似这样：

您还需要做一些额外的工作，以在 Pipeline Security（见下图）、Repos 权限（Project settings=>repos=>repos）中为组授予必要的权限...

然后将成员添加到此自定义组中，而不是默认的Project Administrators 组。