Azure DevOps: actualización de Sprint 205

Características

• Los administradores de colecciones de proyectos pueden optar por recibir notificaciones relacionadas con los tokens de acceso personal que se encuentran en un repositorio público de GitHub.
• Aplicación de la validación de seguridad para todas las solicitudes de Azure DevOps

Los administradores de colecciones de proyectos pueden optar por recibir notificaciones relacionadas con los tokens de acceso personal que se encuentran en un repositorio público de GitHub.

Los administradores de colecciones de proyectos ahora pueden optar por recibir notificaciones cuando se encuentra un token de acceso personal (PAT) que pertenece a un usuario de su organización en un repositorio público de GitHub.

Como recordatorio, el equipo de seguridad de Azure DevOps, en colaboración con nuestros asociados en GitHub, busque PAT de Azure DevOps protegidos en repositorios públicos en GitHub y envíe una notificación por correo electrónico al propietario del token, si se encuentra en un repositorio público de GitHub. Esto también se registra en el registro de auditoría de la organización de Azure DevOps.

Los administradores de la colección de proyectos pueden suscribirse a estas notificaciones; para ello, vaya a Configuración de usuario:> Notificaciones -> Nueva suscripción

Aplicación de la validación de seguridad para todas las solicitudes de Azure DevOps

Azure DevOps cerrará una vulnerabilidad anterior que permitió a determinados usuarios omitir alguna validación de seguridad al usar el encabezado X-TFS-FedAuthRedirect para realizar llamadas a recursos de Azure DevOps. Ahora, todos los usuarios que usan este encabezado X-TFS-FedAuthRedirect siempre deben cumplir las directivas de Azure Active Directory establecidas por su inquilino e iniciar sesión periódicamente en sus cuentas de Azure DevOps para asegurarse de que siempre tienen una sesión de usuario activa.

Si ha estado usando este encabezado y se considera no compatible, puede experimentar 401s al realizar llamadas con X-TFS-FedAuthRedirect. La acción recomendada para aquellos que usan este encabezado sería asegurarse de que la cuenta cumple todas las directivas de administración necesarias, iniciar sesión de nuevo en Azure DevOps para obtener una nueva sesión de usuario y continuar iniciando sesión en Azure DevOps al menos una vez cada 90 días o la duración de las comprobaciones de frecuencia de inicio de sesión establecidas por los administradores de inquilinos.

Esto también puede aplicarse a los usuarios de Visual Studio, ya que el producto también puede realizar llamadas mediante el encabezado X-TFS-FedAuthRedirect en segundo plano. Si encuentra 401s en el producto de Visual Studio (es decir, cualquier banner o mensajes de error que bloqueen el acceso a los recursos de Azure DevOps), se aplica el mismo consejo anterior. Asegúrese de que su cuenta cumple las directivas de administración, vuelva a iniciar sesión en Azure DevOps y continúe haciéndolo con una cadencia regular para evitar interrupciones.

Pasos siguientes

Nota:

Estas características se implementarán en las próximas dos a tres semanas.

Vaya a Azure DevOps y eche un vistazo.

Vaya a Azure DevOps.

Cómo enviar sus comentarios

Nos encantaría escuchar lo que piensas sobre estas características. Use el menú de ayuda para notificar un problema o proporcionar una sugerencia.

También puede obtener consejos y sus preguntas respondidas por la comunidad en Stack Overflow.