Teilen über


Festlegen der Berechtigung "Ansicht" für eine Gruppe in Service Hooks

Azure DevOps Services | Azure DevOps Server 2022 | Azure DevOps Server 2019

Standardmäßig verfügen nur Project-Administratoren über Die Berechtigungen "Anzeigen " oder "Bearbeiten" . Um diesen Berechtigungen direkt anderen Benutzern zu gewähren, können Sie das Befehlszeilentool oder die Security REST-API verwenden.

Screenshot der Seite

Die ServiceHooks Sicherheitsnamespace-ID wird unter List Security Namespaces definiert als cb594ebe-87dd-4fc9-ac2c-6a10a4c92046

Voraussetzungen

  1. Installieren Sie Azure CLI, um befehl auszuführen az devops . Installieren der Azure CLI

  2. Erstellen Sie ein persönliches Zugriffstoken (PAT) für Ihr Azure DevOps-Profil. Stellen Sie sicher, dass Sie Mitglied der Gruppe Project Collection Administrator (PCA) sind.

    • Identität (lesen)
    • Graph (gelesen)
    • Sicherheit (Verwalten)
  3. Melden Sie sich bei Azure DevOps mit az devops login. Wenn Sie nicht über die az devops Erweiterung verfügen, installieren Sie sie.

    > az devops login
    The command requires the extension azure-devops. Do you want to install it now? The command will continue to run after the extension is installed. (Y/n): Y
    
  4. Sie können Ihre Organisation als Standardorganisation definieren. Definieren Sie --org "https://dev.azure.com/{organization}" andernfalls für jeden Befehl.

    az devops configure --defaults organization="https://dev.azure.com/{organization}"
    
  5. Überprüfen Sie, ob eine Liste der Berechtigungen für Ihre Organisation angezeigt wird.

    az devops security permission namespace list --org "https://dev.azure.com/{organization}"
    

Lesen der Gruppenidentität und des Berechtigungstokens

  1. Suchen Sie die Gruppenidentitätsbeschreibung.

    > az devops security group list --project ac515e82-560c-4af8-845b-9f7f968d8e7b --output table
    
    Name                                             Descriptor
    -----------------------------------------------  --------------------------------------------------------------------------------------------------------------------------------------------------
    [TEAM FOUNDATION]\EntraServiceHooksRead          aadgp.Uy0xLTktMTU1MTM3NDI0NS0xMjA0NDAwOTY5LTI0MDI5ODY0MTMtMjE3OTQwODYxNi0zLTM5NTQxNzM3ODYtMTUyMTA4MTkyNS0yNTQwNTA4MjYzLTMzNDgxNjQxNjg
    

    Wenn Sie nach Gruppennamen filtern möchten, können Sie von findstr der Eingabeaufforderung abhängig grep sein.

  2. Berechtigungstoken abrufen.

    > az devops security permission list --id cb594ebe-87dd-4fc9-ac2c-6a10a4c92046 --subject <Group or user descriptor> --output table
    
    Token                                                   Effective Allow    Effective Deny
    ------------------------------------------------------  -----------------  ----------------
    PublisherSecurity                                       0                  0
    PublisherSecurity/ac515e82-560c-4af8-845b-9f7f968d8e7b  0                  0
    

Leseberechtigung für Dienst-Hooks aktualisieren

  1. Liste der möglichen Berechtigungen, für die Sie definieren --allow-bitkönnen.

    • Abonnements anzeigen
    • Abonnement bearbeiten
    • Löschen von Abonnements
    • Veröffentlichen von Ereignissen
    > az devops security permission namespace show --id cb594ebe-87dd-4fc9-ac2c-6a10a4c92046
    
    [
      {
        "actions": [
          {
            "bit": 1,
            "displayName": "View Subscriptions",
            "name": "ViewSubscriptions",
            "namespaceId": "cb594ebe-87dd-4fc9-ac2c-6a10a4c92046"
          },
          {
            "bit": 2,
            "displayName": "Edit Subscription",
            "name": "EditSubscriptions",
            "namespaceId": "cb594ebe-87dd-4fc9-ac2c-6a10a4c92046"
          },
          {
            "bit": 4,
            "displayName": "Delete Subscriptions",
            "name": "DeleteSubscriptions",
            "namespaceId": "cb594ebe-87dd-4fc9-ac2c-6a10a4c92046"
          },
          {
            "bit": 8,
            "displayName": "Publish Events",
            "name": "PublishEvents",
            "namespaceId": "cb594ebe-87dd-4fc9-ac2c-6a10a4c92046"
          }
        ],
        "dataspaceCategory": "Default",
        "displayName": "ServiceHooks",
        "elementLength": -1,
        "extensionType": null,
        "isRemotable": true,
        "name": "ServiceHooks",
        "namespaceId": "cb594ebe-87dd-4fc9-ac2c-6a10a4c92046",
        "readPermission": 1,
        "separatorValue": "/",
        "structureValue": 1,
        "systemBitMask": 0,
        "useTokenTranslator": true,
        "writePermission": 7
      }
    
  2. Legen Sie den Ansichtszugriff für die Gruppe fest. Anzeigen von ServiceHooks-Abonnements entspricht 1 für --allow-bit.

    > az devops security permission update --namespace-id cb594ebe-87dd-4fc9-ac2c-6a10a4c92046 --subject <Group or user descriptor> --token PublisherSecurity/ac515e82-560c-4af8-845b-9f7f968d8e7b --allow-bit 1
    
    [
      {
        "acesDictionary": {
          "Microsoft.TeamFoundation.Identity;S-1-9-1551374245-1204400969-2402986413-2179408616-3-3954173786-1521081925-2540508263-3348164168": {
            "allow": 1,
            "deny": 0,
            "descriptor": "Microsoft.TeamFoundation.Identity;S-1-9-1551374245-1204400969-2402986413-2179408616-3-3954173786-1521081925-2540508263-3348164168",
            "extendedInfo": {
              "effectiveAllow": 1
            },
            "resolvedPermissions": [
              {
                "bit": 1,
                "displayName": "View Subscriptions",
                "effectivePermission": "Allow",
                "name": "ViewSubscriptions"
              }
            ]
          }
        },
        "includeExtendedInfo": true,
        "inheritPermissions": true,
        "token": "PublisherSecurity/ac515e82-560c-4af8-845b-9f7f968d8e7b"
      }
    ]
    
  3. Rufen Sie berechtigungstoken ab, um Ihre Änderungen anzuzeigen.

    > az devops security permission list --id cb594ebe-87dd-4fc9-ac2c-6a10a4c92046 --subject <Group or user descriptor> --output table
    
    Token                                                   Effective Allow    Effective Deny
    ------------------------------------------------------  -----------------  ----------------
    PublisherSecurity                                       0                  0
    PublisherSecurity/ac515e82-560c-4af8-845b-9f7f968d8e7b  1                  0
    

Das folgende Beispiel zeigt, dass der Benutzer die Diensthakenabonnements sehen kann.

Screenshot der Seite

Zurücksetzen aller Dienst-Hooks-Berechtigungen einer Gruppe

  • Wenn Sie alle Service Hooks-Berechtigungen einer Gruppe oder eines Benutzers zurücksetzen müssen, können Sie aufrufen reset-all.

    > az devops security permission reset-all --id cb594ebe-87dd-4fc9-ac2c-6a10a4c92046 --subject <Group or user descriptor> --token PublisherSecurity/ac515e82-560c-4af8-845b-9f7f968d8e7b
    
    Are you sure you want to reset all explicit permissions for this user/group and token? (y/n): Y
    true
    
    > az devops security permission list --id cb594ebe-87dd-4fc9-ac2c-6a10a4c92046 --subject <Group or user descriptor> --output table
    Token                                                   Effective Allow    Effective Deny
    ------------------------------------------------------  -----------------  ----------------
    PublisherSecurity                                       0                  0
    PublisherSecurity/ac515e82-560c-4af8-845b-9f7f968d8e7b  0                  0
    
  • Das folgende Beispiel zeigt, dass der Benutzer keine Dienst-Hooks-Abonnements anzeigen kann, nachdem die Berechtigung zurückgesetzt wurde.

    Screenshot der Seite