Poznámka:
Přístup k této stránce vyžaduje autorizaci. Můžete se zkusit přihlásit nebo změnit adresáře.
Přístup k této stránce vyžaduje autorizaci. Můžete zkusit změnit adresáře.
Azure DevOps Services | Azure DevOps Server | Azure DevOps Server 2022
Zvažte přijetí přírůstkového přístupu k vylepšení zabezpečení vašich kanálů. I když je ideální implementovat všechny pokyny, nepřeplňte se množstvím doporučení. Začněte tím, že provedete některá vylepšení, a to i v případě, že nemůžete okamžitě vyřešit všechno.
Tento článek je součástí série, která vám pomůže implementovat bezpečnostní opatření pro Azure Pipelines. Další informace najdete v tématu Zabezpečení služby Azure Pipelines.
Požadavky
| Kategorie | Požadavky |
|---|---|
| Azure DevOps | – Implementujte doporučení v Make your Azure DevOps secure a Secure Azure Pipelines. – Základní znalost YAML a Azure Pipelines. Další informace najdete v tématu Vytvoření prvního pipeline. |
| Oprávnění | - Úprava oprávnění přenosových cest: Člen skupiny Správci projektu. - K úpravě oprávnění organizace: Člen skupiny Správci kolekce projektů. |
Vzájemné závislosti na zabezpečení
Doporučení zabezpečení jsou vzájemně závislá. Váš postoj závisí na konkrétních doporučeních, která implementujete, a ta jsou v souladu s obavami týmů DevOps a bezpečnostních týmů a zásadami vaší organizace.
Zvažte stanovení priority zabezpečení v kritických oblastech a zároveň přijměte některé kompromisy pro usnadnění v jiných aspektech. Pokud například používáte extends šablony , které vyžadují, aby se všechna sestavení spouštěla v kontejnerech, nemusíte pro každý projekt potřebovat samostatný fond agentů.
Začínáme s téměř prázdnou šablonou
Začněte minimální šablonou a postupně vynucujte rozšíření. Tento přístup zajišťuje, že při implementaci postupů zabezpečení máte centralizovaný výchozí bod, který pokrývá všechny kanály.
Další informace najdete v tématu Šablony.
Zakázání vytváření klasických kanálů
Poznámka:
Tato funkce je dostupná od Azure DevOps Serveru 2022.1.
Pokud používáte výhradně kanály YAML, zakažte vytváření klasických kanálů buildu a verze. Toto opatření brání obavám zabezpečení vyplývajícím z YAML a klasických kanálů, které sdílejí stejné prostředky, jako jsou připojení služeb.
Nezávisle zakažte vytváření klasických kanálů buildu a klasických kanálů verze. Pokud jsou oba zakázané, nemůžou uživatelé vytvářet klasické kanály buildu, kanály klasických verzí, skupiny úloh nebo skupiny nasazení prostřednictvím uživatelského rozhraní nebo rozhraní REST API.
Pokud chcete zakázat vytváření klasických kanálů, přejděte do nastavení organizace nebo nastavení projektu. V sekci Pipelines vyberte Nastavení. V části Obecné zapněte možnost Zakázat vytváření klasických kanálů buildu a zakázat vytváření kanálů klasických verzí.
Pokud tuto funkci povolíte na úrovni organizace, platí pro všechny projekty v této organizaci. Pokud ji ale necháte zakázanou, můžete ji selektivně povolit pro konkrétní projekty.
Aby se zlepšilo zabezpečení nově vytvořených organizací, počínaje sprintem 226, výchozí nastavení zakáže vytváření klasických kanálů buildu a verze pro nové organizace.