tfs - TFS 拡張機能で ACL を操作できるのはどのスコープですか?

Question

TFS 2015 u2. JavaScript API を使用してリリース定義のセキュリティを操作する TFS 拡張機能を作成しようとしています。セキュリティ関連の API がエラー 401 で失敗します。コードは次のようになります。

VSS.require(["VSS/Service", "VSS/Security/RestClient"],
        function (Srv, SecAPI)
        {
            var SecClient = Srv.getCollectionClient(SecAPI.SecurityHttpClient);
            SecClient.queryAccessControlLists("aaaaaaaa-bbbb-cccc-dddd-eeeeeeeeeeee").then(function(a)
            {
                //...
            });
        }

それは 401 Unauthorized でエラーになります。私が理解している限りでは、拡張機能が使用できる REST API のリストはscopes、マニフェストのパラメーターによって駆動されます。これが機能するためにそこに何を配置しますか？スコープリストには、並べ替えはありません。

一方、Windows 認証を使用して通常の REST クライアントから同じエンドポイントを呼び出すと、期待どおりに機能します。