Azure DevOps の「TF401444: Please sign-in at least once as … in a web browser to enable access to the service.」
「〜として、一度ブラウザでサインインしてください。そうすればサービスを使えます」という意味です。Azure DevOps は、Microsoft Entra のトークンの持ち主を組織がまだ知らないときに TF401444 で答えます。人なら、同じアカウントで組織に一度ブラウザでサインインするか、メンバーになっているアカウントに替えれば直ります。サービス プリンシパルやマネージド ID はブラウザを開けないので、管理者が組織に足します。公開の報告では、メッセージの名前が、本人が使うつもりだったアカウントと違っていることがよくあります。
答えの全体
2022年〜2026年10月の公開の報告が引いている形です。HTTP 401 と JSON の本文で返ります：
TF401444: Please sign-in at least once as <ディレクトリ>\<ディレクトリ>\<オブジェクト ID> in a web browser to enable access to the service.
- 「as」の後ろの名前が、トークンの持ち主です。サービス プリンシパルやマネージド ID は、テナント ID が2回とオブジェクト ID。人はディレクトリとサインイン名で、個人の Microsoft アカウントなら
Windows Live ID\name@example.comです。 - Microsoft Entra でサインインするものならどれからでも出ます：
az account get-access-tokenやワークロード ID のトークンで呼ぶ REST API、Git Credential Manager（fatal: Failed to create PAT: TF401444: …）、Terraform のプロバイダー、ワークロード ID の Argo CD（小文字でauthentication required:の後ろ）、KEDA の Azure Pipelines のスケーラー、Backstage。 - トークンなしの呼び出しには、代わりに TF400813 が返ります（そちらの意味）。
人のとき：az login、Git Credential Manager、ツールの Microsoft サインイン
- アカウントを確かめる。「as」の後ろの名前を、使うつもりのアカウントと比べます。Azure CLI なら
az account showでサインイン中のユーザーとテナントが見られます。Git Credential Manager は、組織ごとに覚えているアカウントをgit-credential-manager azure-repos listで出します。同じメール アドレスでも、個人の Microsoft アカウントと職場のアカウントは別のアカウントです。 - 正しいアカウントなら、
https://dev.azure.com/<組織>をブラウザで開いて、そのアカウントで一度サインインします。そのあとコマンドをやり直します。2026年6月には、Microsoft の GitHub の組織にある Azure Artifacts のフィード用の Python のキーリング（artifacts-keyring-nofuss）が、TF401444 にこの案内を出すようになりました。 - ブラウザでも入れないなら、そのアカウントは組織のメンバーではありません。管理者が Organization settings → Users → Add users で足します。
- 違うアカウントなら、正しいアカウントでサインインし直します。
az loginをもう一度（--tenantに組織がつながっているディレクトリを指定）、Git Credential Manager ならgit-credential-manager azure-repos unbind <組織>のあと、次の git のコマンドでサインインします。2022年の Windows からの報告では、本人が打ち込んだ職場のアカウントではなく、Windows のローカル アカウントの名前がメッセージに出ていました。
サービス プリンシパルやマネージド ID のとき
Microsoft の TF401444 への答えは、ID を組織にはっきり足し、アクセス レベルを与え、要るものの権限を付けることです（Use service principals and managed identities・2026年9月21日更新）：
- Azure DevOps で Organization settings → Users → Add users を開き、サービス プリンシパルかマネージド ID の表示名を入れます。Microsoft Entra のグループに入れるだけでは、Azure DevOps には知られません。
- アクセス レベルとプロジェクトを選びます。Azure Repos には Basic 以上が要り、Stakeholder には含まれません。
- サービス プリンシパルが見つからないときは、Microsoft Entra 管理センターの Enterprise applications の Object ID を使います（App registrations の ID ではありません）。ID は、組織がつながっているテナントにある必要があります。
パイプラインのワークロード ID フェデレーションのサービス接続も、ID が足されていないと同じ答えになります。Microsoft のワークロード ID のページは TF401444 にこの直し方を挙げています。組織には入ったがプロジェクトに入っていないときの次の答えは VS800075 です。
IntelliJ IDEA と Rider で Azure DevOps のプルリクエストを
Azure DevOps Pull Requests は、Lesstep が作っている JetBrains IDE（2024.1 以降）と Android Studio のプラグインです。組織・プロジェクト・リポジトリを git のリモートから読み、自分のレビューを待っているプルリクエストを IDE のツールウィンドウに並べます。Azure DevOps Services でも Azure DevOps Server でも使えます。サインインは個人用アクセス トークンか、Azure CLI のサインイン（az login）です。1.0.35 からは、Azure CLI のサインインに TF401444 が返ったとき、組織をブラウザで開いてそのアカウントで一度サインインするか、メンバーのアカウントで az login し直すよう案内します。レビューの受け箱は無料、投票・コメント・完了は Pro（30日間の無料試用つき）です。画面は日本語です。
Azure DevOps と Microsoft Entra は Microsoft Corporation の商標、IntelliJ IDEA と Rider は JetBrains s.r.o. の商標です。このページは Microsoft・JetBrains のいずれとも提携しておらず、承認も受けていません。
ほかに：TF400813：トークンが受け付けられない · VS800075：アカウントからプロジェクトが見えない · English