O oprávněních a skupinách zabezpečení

Azure DevOps Services | Azure DevOps Server 2022 – Azure DevOps Server 2019

V tomto článku se dozvíte o úrovních přístupu a oprávněních prostřednictvím dědičnosti, skupin zabezpečení, rolí a dalších informací v Azure DevOps.

Přehled výchozích oprávnění najdete v stručné referenční dokumentaci k výchozím oprávněním. Popis každé výchozí skupiny zabezpečení najdete v tématu Skupiny zabezpečení, účty služeb a referenční informace o oprávněních.

Úrovně přístupu

Všem uživatelům přidaným do Azure DevOps se přiřadí úroveň přístupu, která uděluje nebo omezuje přístup k vybraným funkcím webového portálu.

Existují tři hlavní úrovně přístupu: Účastník, Basic a Basic + Test Plans. Přístup účastníků poskytuje bezplatný přístup k neomezenému počtu uživatelů k omezené sadě funkcí. Další informace najdete ve stručné referenční příručce k přístupu pro účastníka.

Pokud chcete uživateli udělit přístup k agilní správě portfolia nebo funkcím správy testovacích případů, změňte úrovně přístupu, nikoli oprávnění. Další informace najdete v tématu O úrovních přístupu.

Oprávnění

Všichni uživatelé přidaní do Azure DevOps se přidají do jedné nebo více výchozích skupin zabezpečení. Skupiny zabezpečení mají přiřazená oprávnění, která umožňují povolit nebo odepřít přístup k funkci nebo úloze.

• Členové skupiny zabezpečení dědí oprávnění přiřazená skupině.
• Oprávnění jsou definována na různých úrovních: organizace/kolekce, projekt nebo objekt.
• Další oprávnění se spravují prostřednictvím přiřazení na základě rolí, jako je správce týmu, správa rozšíření a různé role prostředků kanálu.
• Správa istrátory mohou definovat vlastní skupiny zabezpečení pro správu oprávnění pro různé funkční oblasti.

Pokud jde o správu oprávnění v Azure DevOps, existují dvě klíčové skupiny: kolekce projektů Správa istrátory a Správa istrátory projectu. Pojďme si to rozdělit na jednotlivé kroky:

Kolekce projektů Správa istrátory:

• Tito jednotlivci mají nejvyšší úroveň autority v rámci organizace nebo kolekce projektů.
• Můžou provádět všechny operace pro celou kolekci.
• Mezi jejich zodpovědnosti patří správa nastavení, zásad a procesů pro organizaci.
• Kromě toho můžou vytvářet a spravovat všechny projekty a rozšíření v organizaci.

Správa istrátory projektu:

• Projektové Správa istrátory pracují na úrovni projektu.
• Spravují skupiny zabezpečení a oprávnění primárně z nastavení projektu webového portálu.
• Přispěvatelé na druhou stranu zpracovávají oprávnění pro konkrétní objekty, které v rámci projektu vytvářejí.

Stavy oprávnění

Oprávnění můžete přiřadit následujícími způsoby, udělit nebo omezit přístup, jak je uvedeno.

Uživatel nebo skupina mají oprávnění k provedení úkolu:

• Povolit
• Povolit (zděděno)
• Povolit (systém)

Uživatel nebo skupina nemají oprávnění k provedení úkolu:

• Odepřít
• Odepřít (zděděno)
• Odepřít (systém)
• Nenastaví se

Stav oprávnění	Popis
Povolit	Explicitně uděluje uživatelům provádění konkrétních úloh a nedědí se z členství ve skupině.
Povolit (zděděno)	Umožňuje členům skupiny provádět konkrétní úkoly.
Povolit (systém)	Uděluje oprávnění, která mají přednost před uživatelskými oprávněními. Needitable a stored in a configuration database, neviditelný pro uživatele.
Odepřít	Explicitně omezuje uživatele v provádění konkrétních úloh a nedědí se z členství ve skupině. U většiny skupin a téměř všech oprávnění přepíše možnost Odepřítpovolení. Pokud uživatel patří do dvou skupin a jeden z nich má určité oprávnění nastavené na Odepřít, nemůže tento uživatel provádět úlohy, které vyžadují toto oprávnění, i když patří do skupiny, která má toto oprávnění nastavenou na Povolit.
Odepřít (zděděno)	Omezuje členy skupiny, aby prováděli konkrétní úlohy. Přepíše explicitní povolení.
Odepřít (systém)	Omezuje oprávnění, která mají přednost před uživatelskými oprávněními. Needitable a stored in a configuration database, neviditelný pro uživatele.
Nenastaví se	Implicitně odepře uživatelům možnost provádět úlohy, které vyžadují toto oprávnění, ale umožňuje členství ve skupině, která má toto oprávnění přednost, označované také jako Povolit (zděděno) nebo Odepřít (zděděno).

V některých případech můžou členové kolekce projektů Správa istrátory nebo skupiny Team Foundation Správa istrators vždy získat oprávnění, i když jsou oprávnění v jiné skupině odepřena. V jiných případech, jako je odstranění pracovní položky nebo kanály, je členem skupiny Kolekcí projektů Správa istrators se nepoužívat oprávnění Odepřít nastavená jinde.

Upozorňující

Když upravíte oprávnění pro skupinu, ovlivní to všechny uživatele v této skupině. I jedna změna oprávnění může mít vliv na stovky uživatelů, takže je důležité zvážit potenciální účinky před provedením jakýchkoli úprav.

Dědičnost oprávnění

Oprávnění se řídí hierarchií, což umožňuje dědičnost z nadřazeného objektu nebo přepsáním.

• Dědičnost skupin: Uživatelé dědí oprávnění ze skupin, do nichž patří. Pokud má uživatel oprávnění Povolit přímo nebo prostřednictvím členství ve skupině, ale má také oprávnění Odepřít prostřednictvím jiné skupiny, má oprávnění Odepřít přednost. Členové kolekce projektů však Správa istrátory nebo Team Foundation Správa istrátory uchovávají nejvíce povolených oprávnění, i když patří do jiných skupin, které tato oprávnění odepře (s výjimkou operací pracovních položek).
• Dědičnost na úrovni objektu: Oprávnění na úrovni objektu (přiřazená uzlům, jako jsou oblasti, iterace, složky správy verzí a složky dotazů pracovních položek) se dědí v hierarchii.

Pojďme například rozdělit dědičnost oprávnění a pravidla specificity a pamatovat si, že explicitní oprávnění mají vždy přednost před zděděnými oprávněními:

• Pokud jsou oprávnění uživatele nastavena na uzlu vyšší úrovně (area-1), zdědí se tato oprávnění všemi pod uzly (area-1/sub-area-1), pokud explicitně nepřepíšete.
• Pokud oprávnění není explicitně povoleno nebo odepřeno pro podnode, dědí oprávnění z nadřazeného uzlu.
• Pokud je však oprávnění explicitně nastaveno pro dílčí uzel (area-1/sub-area-1), oprávnění nadřazeného objektu se nedědí bez ohledu na to, jestli je povoleno nebo odepřeno. Specifičnost:
• V hierarchii objektů specificita trumfuje dědičnost. To znamená, že pokud existují konfliktní oprávnění, má přednost nejvíce konkrétní oprávnění.
• Představte si například uživatele:
  • Explicitně odepřít oblast-1 (nadřazený uzel).
  • Explicitně povolit oblast-1/sub-area-1 (podřízený uzel).
• V tomto případě uživatel obdrží možnost Povolit pro oblast-1/sub-area-1 přepsáním zděděného zamítnutí z nadřazeného uzlu.

Pokud chcete zjistit, proč se oprávnění dědí, můžete pozastavit nastavení oprávnění a pak zvolit Proč? Pokud chcete otevřít stránku Zabezpečení , přečtěte si téma Zobrazit oprávnění.

Poznámka:

Pokud chcete povolit stránku náhledu stránky Nastavení oprávnění projektu, přečtěte si téma Povolení funkcí preview.

Náhled stránky

Otevře se nové dialogové okno s informacemi o dědičnosti daného oprávnění.

Aktuální stránka

V novém okně se zobrazí informace o dědičnosti pro toto oprávnění.

Skupiny zabezpečení a členství

Skupiny zabezpečení přiřazují svým členům konkrétní oprávnění.

Při vytváření organizace, kolekce nebo projektu vytvoří Azure DevOps sadu výchozích skupin zabezpečení, které mají automaticky přiřazená výchozí oprávnění. Další skupiny zabezpečení jsou definovány pomocí následujících akcí:

• Při vytváření vlastních skupin zabezpečení na následujících úrovních:
  • Úroveň projektu
  • Úroveň organizace nebo kolekce
  • Úroveň serveru (pouze místní)
• Když přidáte tým, vytvoří se skupina zabezpečení týmu.

Nemůžete vytvořit skupinu zabezpečení na úrovni objektu, ale vlastní skupinu můžete přiřadit k úrovni objektu a přiřadit k této úrovni oprávnění. Další informace naleznete v tématu Nastavení oprávnění na úrovni objektu.

Výchozí skupiny zabezpečení

Většina uživatelů Azure DevOps se přidá do skupiny zabezpečení Přispěvatelé a udělí základní úroveň přístupu. Skupina Přispěvatelé poskytuje přístup pro čtení a zápis k úložištím, sledování práce, kanálům a dalším funkcím. Základní přístup poskytuje přístup ke všem funkcím a úlohám pro používání Azure Boards, Azure Repos, Azure Pipelines a Azure Artifacts. Uživatelům, kteří vyžadují přístup ke správě plánů Azure Test, musí mít udělený základní + testovací plány nebo rozšířený přístup.

Pro každý projekt a organizaci jsou ve výchozím nastavení definovány následující skupiny zabezpečení. Obvykle přidáte uživatele nebo skupiny do skupin Čtenáři, Přispěvatelé nebo Project Správa istrátory.

Projekt	Organizace nebo kolekce
- Sestavení Správa istrátory -Přispěvatelů – Projektové Správa istrátory - Platné uživatele projektu -Čtenáři – Vydání Správa istrátory - TeamName TeamName Team	- Kolekce projektů Správa istrátory – Sestavení kolekce projektů Správa istrátory – Účty služby sestavení kolekce projektů – Účty služby proxy kolekce projektů – Účty služby Kolekce projektů – Účty testovací služby kolekce projektů - Kolekce projektů – Platné uživatele – Uživatelé s vymezeným projektem - Skupina služeb zabezpečení

Popis každé z těchto skupin najdete v tématu Skupiny zabezpečení, účty služeb a oprávnění. Výchozí přiřazení oprávnění pro nejběžnější výchozí skupiny zabezpečení najdete v tématu Výchozí oprávnění a přístup.

Pro uživatele, kteří mají za úkol spravovat funkce na úrovni projektu , jako jsou týmy, cesty oblastí a iterace, úložiště, háky služeb a koncové body služby, je přidejte do skupiny Project Správa istrators.

Pro uživatele, kteří mají za úkol spravovat funkce na úrovni organizace nebo kolekce, jako jsou projekty, zásady, procesy, zásady uchovávání informací, agent a fondy nasazení a rozšíření, je přidejte do skupiny Kolekce projektů Správa istrátory. Další informace najdete v tématu O nastavení na úrovni uživatele, týmu, projektu a organizace.

Správa na úrovni členství, oprávnění a přístupu

Azure DevOps řídí přístup prostřednictvím těchto tří vzájemně propojených funkčních oblastí:

• Správa členství podporuje přidávání jednotlivých uživatelských účtů a skupin do výchozích skupin zabezpečení. Každé výchozí skupině je přidružená sada výchozích oprávnění. Všichni uživatelé přidaní do jakékoli skupiny zabezpečení se přidají do skupiny Platné uživatele. Platným uživatelem je ten, kdo se může připojit k projektu, kolekci nebo organizaci.
• Správa oprávnění řídí přístup ke konkrétním funkčním úlohám na různých úrovních systému. Oprávnění na úrovni objektu nastavují oprávnění pro soubor, složku, kanál sestavení nebo sdílený dotaz. Nastavení oprávnění odpovídají nastavení povolit, odepřít, zděděné povolení, zděděné odepření, povolení systému, odepření systému a nenastavené.
• Řízení na úrovni přístupu řídí přístup k funkcím webového portálu. Na základě zakoupených uživatelů nastavily správci úroveň přístupu uživatele na úroveň přístupu účastníka, basicu, basicu + testu nebo sady Visual Studio Enterprise (dříve Upřesnit).

Každá funkční oblast používá skupiny zabezpečení ke zjednodušení správy v rámci nasazení. Uživatele a skupiny můžete přidávat prostřednictvím kontextu správy webu. Oprávnění se automaticky nastaví na základě skupiny zabezpečení, do které přidáváte uživatele. Nebo oprávnění získáte na základě objektu, projektu, kolekce nebo úrovně serveru, do kterého přidáváte skupiny.

Členové skupiny zabezpečení můžou být kombinací uživatelů, jiných skupin a skupin Microsoft Entra.

Skupiny zabezpečení Služby Active Directory a Microsoft Entra

Skupiny zabezpečení můžete naplnit přidáním jednotlivých uživatelů. Pro usnadnění správy je ale efektivnější tyto skupiny naplnit pomocí ID Microsoft Entra pro Azure DevOps Services a Active Directory (AD) nebo skupiny uživatelů Windows pro Azure DevOps Server. Tento přístup umožňuje efektivněji spravovat členství ve skupinách a oprávnění v různých počítačích.

Pokud potřebujete spravovat jenom malou sadu uživatelů, můžete tento krok přeskočit. Pokud ale předpokládáte, že vaše organizace může růst, zvažte nastavení active directory nebo ID Microsoft Entra. Pokud také plánujete používat další služby, je nezbytné nakonfigurovat ID Microsoft Entra pro použití s Azure DevOps pro podporu fakturace.

Poznámka:

Bez ID Microsoft Entra se všichni uživatelé Azure DevOps musí přihlásit pomocí účtů Microsoft a musíte spravovat přístup k účtu podle jednotlivých uživatelských účtů. I když spravujete přístup k účtu pomocí účtů Microsoft, nastavte předplatné Azure pro správu fakturace.

Pokud chcete nastavit ID Microsoft Entra pro použití s Azure DevOps Services, přečtěte si Připojení vaší organizaci na Microsoft Entra ID.

Když je vaše organizace připojená k Microsoft Entra ID, můžete definovat a spravovat různé zásady organizace, které zlepšují zabezpečení a zjednoduší přístup k aplikacím. Další informace najdete v tématu O zabezpečení, zásadách zabezpečení.

Pokud chcete spravovat přístup organizace pomocí Microsoft Entra ID, přečtěte si následující články:

• Přidání nebo odstranění uživatelů pomocí Microsoft Entra ID
• Řešení potíží s přístupem pomocí Microsoft Entra ID

Azure DevOps zaregistruje změny provedené ve skupině Microsoft Entra do hodiny od této změny v ID Microsoft Entra. Všechna zděděná oprávnění prostřednictvím členství ve skupině se aktualizují. Pokud chcete aktualizovat členství Microsoft Entra a zděděná oprávnění v Azure DevOps, odhlaste se a pak se znovu přihlaste nebo aktivujte aktualizaci, aby se znovu zhodnotila vaše oprávnění.

Platné skupiny uživatelů

Když přidáte účty uživatelů přímo do skupiny zabezpečení, automaticky se přidají do jedné z následujících platných skupin uživatelů.

• Platné uživatele kolekce projektů: Všichni členové přidaní do skupiny na úrovni organizace.
• Platné uživatele projektu: Všichni členové přidaní do skupiny na úrovni projektu.

Výchozí oprávnění přiřazená těmto skupinám primárně poskytují přístup pro čtení, jako je zobrazení prostředků sestavení, zobrazení informací na úrovni projektu a zobrazení informací na úrovni kolekce.

Všichni uživatelé, které přidáte do jednoho projektu, můžou zobrazit objekty v jiných projektech v rámci kolekce. Pokud chcete omezit přístup k zobrazení, můžete nastavit omezení prostřednictvím uzlu cesty k oblasti.

Pokud odeberete nebo odepřete oprávnění Zobrazit informace na úrovni instance pro některou ze skupin Valid Users, nebudou mít žádní členové skupiny přístup k projektu, kolekci nebo nasazení v závislosti na nastavené skupině.

Skupina uživatelů s vymezeným projektem

Ve výchozím nastavení můžou uživatelé přidaní do organizace zobrazit všechny informace a nastavení organizace a projektu. Mezi tato nastavení patří seznam uživatelů, seznam projektů, podrobnosti fakturace, údaje o využití a další, ke kterým můžete přistupovat prostřednictvím nastavení organizace.

Důležité

• Omezené funkce viditelnosti popsané v této části se vztahují pouze na interakce prostřednictvím webového portálu. Pomocí rozhraní REST API nebo azure devops příkazů rozhraní příkazového řádku můžou členové projektu přistupovat k omezeným datům.
• Uživatelé typu host, kteří jsou členy omezené skupiny s výchozím přístupem v Microsoft Entra ID, nemůžou vyhledávat uživatele s výběrem osob. Když je funkce Preview pro organizaci vypnutá nebo když uživatelé typu host nejsou členy omezené skupiny, můžou uživatelé typu host prohledávat všechny uživatele Microsoft Entra podle očekávání.

Pokud chcete omezit konkrétní uživatele, jako jsou účastníci, uživatelé typu host Microsoft Entra nebo členové konkrétní skupiny zabezpečení, můžete povolit funkci Omezit viditelnost a spolupráci uživatelů na konkrétní projekty ve verzi Preview pro organizaci. Po povolení je přístup k stránkám nastavení organizace omezený pro všechny uživatele nebo skupiny přidané do skupiny Uživatelé s oborem projektu, s výjimkou přehledu a projektů. Navíc mají přístup jenom k projektům, ke kterým se přidají.

Upozorňující

Pokud je pro organizaci povolená funkce Omezit viditelnost uživatelů a spolupráci na konkrétní projekty ve verzi Preview, nemůžou uživatelé v oboru projektu vyhledávat uživatele, kteří byli do organizace přidáni prostřednictvím členství ve skupině Microsoft Entra, a ne prostřednictvím explicitní pozvánky uživatele. Jedná se o neočekávané chování a pracuje se na řešení. Pokud chcete tento problém vyřešit sami, zakažte funkci Omezit viditelnost a spolupráci uživatelů na konkrétní projekty ve verzi Preview pro organizaci.

Další informace najdete v tématu Správa funkcí ve verzi Preview.

Poznámka:

Skupiny zabezpečení patří do úrovně organizace, i když přistupují jenom ke konkrétnímu projektu. Některé skupiny můžou být na webovém portálu skryté v závislosti na uživatelských oprávněních. Všechny názvy skupin v organizaci najdete pomocí nástroje azure devops CLI nebo našich rozhraní REST API. Další informace najdete v tématu Přidání a správa skupin zabezpečení.

Oprávnění založená na rolích

S oprávněními založenými na rolích přiřadíte uživatelské účty nebo skupiny zabezpečení k roli s přiřazenou jednou nebo více oprávněními každé role. Tady jsou hlavní role a odkazy na další informace.

• Role zabezpečení kanálu artefaktů nebo balíčků: Role podporují různé úrovně oprávnění pro úpravy a správu informačních kanálů balíčků.
• Role Správce rozšíření Marketplace: Členové role Správce můžou instalovat rozšíření a reagovat na žádosti o instalaci rozšíření.
• Role zabezpečení kanálu: Několik rolí slouží ke správě prostředků knihovny, prostředků kanálu na úrovni projektu a prostředků kanálu na úrovni kolekce.
• Správci týmu můžou spravovat všechny týmové nástroje.

Další informace naleznete v tématu O rolích zabezpečení.

Následující obrázek znázorňuje, jak můžou skupiny zabezpečení definované na úrovni projektu a kolekce přiřazovat oprávnění k objektům, projektům a organizaci.

Členové skupiny Project Správa istrators nebo Project Collection Správa istrators mohou spravovat všechny týmové nástroje pro všechny týmy.

Osvědčené postupy pro oprávnění

Udělejte toto:

• Skupiny zabezpečení Microsoft Entra, Active Directory nebo Windows používejte při správě velkého počtu uživatelů.
• Když přidáte tým, zvažte, jaká oprávnění chcete přiřadit vedoucím týmu, mistrům scrumu a dalším členům týmu. Zvažte, kdo vytváří a upravuje cesty oblastí, iterační cesty a dotazy.
• Když přidáte mnoho týmů, zvažte vytvoření vlastní skupiny Team Správa istrators, kde můžete přidělit podmnožinu oprávnění dostupných pro Project Správa istrátory.
• Zvažte udělení oprávnění k přiřazení složek dotazů pracovních položek k přispívání uživatelům nebo skupinám, které vyžadují možnost vytvářet a sdílet dotazy na pracovní položky pro projekt.

Ne:

• Nepřidávejte uživatele do více skupin zabezpečení, které obsahují různé úrovně oprávnění. V některých případech může úroveň oprávnění Odepřít přepsání úrovně oprávnění Povolit .
• Neměňte výchozí přiřazení pro skupiny Platné uživatele. Pokud odeberete nebo nastavíte oprávnění Zobrazit informace na úrovni instance pro jednu ze skupin Valid Users, nebudou mít žádní uživatelé ve skupině přístup k projektu, kolekci nebo nasazení v závislosti na nastavené skupině.
• Nepřiřazujte k uživatelským účtům oprávnění, která jsou označená jako Přiřadit pouze účtům služeb.

Funkce Preview

Příznaky funkcí řídí přístup k výběru nových funkcí. Azure DevOps pravidelně zavádí nové funkce tím, že je umístí za příznak funkce. Členové projektu a vlastníci organizace můžou povolit nebo zakázat funkce ve verzi Preview. Další informace najdete v tématu Správa nebo povolení funkcí.

Další kroky

Výchozí oprávnění a přístup

Související články

• Řešení potíží s přístupem a oprávněními
• Informace o zabezpečení, ověřování a autorizaci
• Referenční informace o oprávněních a skupinách
• Nástroje pro správu zabezpečení a oprávnění
• Přidání a správa skupin zabezpečení