Utiliser des jetons d’accès personnels

Article
10/25/2024

Azure DevOps Services | Azure DevOps Server 2022 | Azure DevOps Server 2019

Un jeton d’accès personnel (PAT) sert de mot de passe alternatif pour l’authentification dans Azure DevOps. Ce PAT vous identifie et détermine votre accessibilité et votre étendue d’accès. Par conséquent, traitez les TP avec le même niveau de prudence que les mots de passe.

Lorsque vous utilisez des outils Microsoft, votre compte Microsoft (MSA) ou microsoft Entra ID est une méthode reconnue et prise en charge. Si vous utilisez des outils non-Microsoft qui ne prennent pas en charge les comptes Microsoft ou Microsoft Entra, ou si vous préférez ne pas partager vos informations d’identification principales avec ces outils, les PAT sont une alternative appropriée.

Cet article vous guide tout au long de la création, de l’utilisation, de la modification et de la révocation de paTs pour Azure DevOps.

Vous pouvez gérer les PAT à l’aide des méthodes suivantes :

Interface utilisateur : via les paramètres utilisateur, comme indiqué dans cet article
API de gestion du cycle de vie PAT

Pour établir des PAT pour les outils non-Microsoft, vous pouvez utiliser des gestionnaires d’informations d’identification Git ou les générer manuellement. Nous vous recommandons de consulter nos conseils d’authentification pour choisir le mécanisme d’authentification approprié. Les PAT offrent une alternative simple pour les projets plus petits qui ne nécessitent pas de solution étendue. Sans gestionnaire d’informations d’identification, les utilisateurs entrent leurs informations d’identification chaque fois.

Prérequis

Autorisations :
- Disposez d’une autorisation d’accès et de modification de vos paramètres utilisateur dans lesquels les PAT sont gérés.
  - Vérifier les autorisations : Pour vérifier vos autorisations, effectuez l’un des processus suivants dans Azure DevOps :
    - Accédez à votre profil et sélectionnez Jetons d’accès personnels des paramètres>utilisateur. Si vous pouvez voir et gérer vos PAT ici, vous disposez des autorisations nécessaires.
    - Accédez à votre projet et sélectionnez Autorisations des paramètres>du projet. Recherchez votre compte d’utilisateur dans la liste et vérifiez les autorisations qui vous sont attribuées. Recherchez les autorisations relatives à la gestion des jetons ou des paramètres utilisateur.
- Si votre organisation a des stratégies en place, un administrateur Azure DevOps peut avoir besoin d’accorder des autorisations spécifiques ou de vous ajouter à une liste d’autorisation pour créer et gérer des PAT.
- Selon les tâches que vous souhaitez effectuer avec le PAT, vous devrez peut-être disposer d’autorisations supplémentaires. Par exemple :
  - Build : Lecture & exécution
  - Code : lecture, écriture, &gestion
  - Environnement : Lecture et gestion
  - Projet et équipe : Lecture, écriture et gestion
  - Groupes de variables : Lecture et création
Niveaux d’accès : disposez au moins d’un accès de base.
Bonnes pratiques en matière de sécurité : Familiarisez-vous avec les meilleures pratiques de sécurité pour la gestion des PAT, telles que l’utilisation de celles-ci uniquement lorsque cela est nécessaire et effectuez régulièrement une rotation.

Créer un PAT

Connectez-vous à votre organisation (https://dev.azure.com/{Your_Organization}).
À partir de votre page d’accueil, ouvrez les paramètres utilisateur et sélectionnez Jetons d’accès personnels.
Sélectionnez + Nouveau jeton.
Nommez votre jeton, sélectionnez l’organisation dans laquelle vous souhaitez utiliser le jeton, puis définissez votre jeton pour expirer automatiquement après un nombre défini de jours.
Sélectionnez les étendues de ce jeton pour autoriser vos tâches spécifiques.

Par exemple, pour créer un jeton pour un agent de génération et de mise en production pour s’authentifier auprès d’Azure DevOps, définissez l’étendue du jeton sur les pools d’agents (lecture et gestion). Pour lire les événements du journal d’audit et gérer ou supprimer des flux, sélectionnez Lire le journal d’audit, puis sélectionnez Créer.

Remarque

Vous pouvez être limité à la création de paTs à étendue complète. Dans ce cas, votre administrateur Azure DevOps dans Microsoft Entra ID a activé une stratégie qui vous limite à un ensemble d’étendues personnalisé spécifique. Pour plus d’informations, consultez Gérer les PAT avec des stratégies/Restreindre la création de paTs à étendue complète. Pour un PAT défini sur mesure, l’étendue requise pour accéder à l’API Gouvernance des composants n’est vso.governancepas sélectionnable dans l’interface utilisateur.
Lorsque vous avez terminé, copiez le jeton et stockez-le dans un emplacement sécurisé. Pour votre sécurité, elle ne s’affiche pas à nouveau.

Utilisez votre PAT partout où vos informations d’identification utilisateur sont requises pour l’authentification dans Azure DevOps.

Important

Traitez un mot de passe avec la même prudence que votre mot de passe et conservez-le confidentiel.
Connectez-vous avec votre nouveau PAT dans un délai de 90 jours pour les organisations soutenues par l’ID Microsoft Entra ; sinon, le PAT devient inactif. Pour plus d’informations, consultez La fréquence de connexion utilisateur pour l’accès conditionnel.

Notifications

Pendant la durée de vie d’un PAT, les utilisateurs reçoivent deux notifications : la première au moment de la création et les sept jours avant son expiration.

Après avoir créé un PAT, vous recevez une notification similaire à l’exemple suivant. Cette notification sert de confirmation que votre PAT a été correctement ajouté à votre organisation.

Capture d’écran montrant la notification créée par PAT.

L’image suivante montre un exemple de notification de sept jours avant l’expiration de votre PAT.

Capture d’écran montrant la notification d’expiration proche de PAT.

Pour plus d’informations, consultez Configurer un serveur SMTP et personnaliser l’e-mail pour les alertes et les demandes de commentaires.

Notification inattendue

Si vous recevez une notification PAT inattendue, cela peut signifier qu’un administrateur ou un outil a créé un PAT pour vous. Voici quelques exemples.

Un jeton nommé « git : https://dev.azure.com/{Your_Organization} sur YourMachine » est créé lorsque vous vous connectez à un dépôt Git Azure DevOps via git.exe.
Un jeton nommé « Service Hooks : Azure App Service : : Déployer une application web » est créé lorsque vous ou un administrateur configurez un déploiement d’application web Azure App Service.
Un jeton nommé « WebAppLoadTestCDIntToken » est créé lorsque le test de charge web est configuré dans le cadre d’un pipeline par vous ou un administrateur.
Un jeton nommé « Intégration Microsoft Teams » est créé lorsqu’une extension de messagerie d’intégration Microsoft Teams est configurée.

Avertissement

Révoquez le mot de passe si vous soupçonnez qu’il existe en erreur. Suivez les étapes pour révoquer le mot de passe et modifier votre mot de passe.
Contactez votre administrateur si vous êtes un utilisateur Microsoft Entra pour voir si votre organisation a été sollicitée par une source ou un emplacement inconnu.
Passez en revue le FAQ sur les archivages PAT accidentels dans les référentiels GitHub publics.

Utiliser un pat

Votre PAT sert d’identité numérique, comme un mot de passe.

Git

Les interactions Git nécessitent un nom d’utilisateur, qui peut être tout sauf une chaîne vide. Pour utiliser un protocole PAT avec l’authentification de base HTTP, vous $MyPat devez l’afficher Base64-encode dans le bloc de code suivant.

Windows
Linux/macOS

Dans PowerShell, entrez le code suivant.

$MyPat = 'yourPat'
$headerValue = "Authorization: Basic " + [Convert]::ToBase64String([System.Text.Encoding]::UTF8.GetBytes(":" + $MyPat))
$env:GIT_AUTH_HEADER = $headerValue

git --config-env=http.extraheader=GIT_AUTH_HEADER clone https://dev.azure.com/yourOrgName/yourProjectName/_git/yourRepoName

Utilisez des gestionnaires d’informations d’identification pour éviter d’entrer vos informations d’identification chaque fois et de sécuriser votre jeton :

Utilisez Le Gestionnaire d’informations d’identification Git.
Installez Git pour Windows.

Dans Bash, entrez le code suivant.

MY_PAT=yourPAT # replace "yourPAT" with "PatStringFromWebUI"
export HEADER_VALUE=$(echo -n "Authorization: Basic "$(printf ":%s" "$MY_PAT" | base64))

git --config-env=http.extraheader=HEADER_VALUE clone https://dev.azure.com/yourOrgName/yourProjectName/_git/yourRepoName

Pour sécuriser votre jeton, utilisez des gestionnaires d’informations d’identification afin de ne pas avoir à entrer vos informations d’identification à chaque fois. Nous vous recommandons git Credential Manager.

Référentiels existants

Supprimer l’origine existante : si vous avez précédemment ajouté l’origine à l’aide d’un nom d’utilisateur, supprimez-la en exécutant la commande suivante :

git remote remove origin
S’authentifier auprès d’un pater : si vous rencontrez des problèmes d’authentification standard, exécutez la commande suivante pour vous authentifier via la ligne de commande :

git remote add origin https://dev.azure.com/<PAT>@<company_machineName>:/<project-name>/_git/<repo_name>

git push -u origin --all

Il path to git repo = /_git/do fait référence à la structure de chemin d’URL utilisée dans azure DevOps pour les dépôts Git. Le /_git/ segment indique que vous accédez à un référentiel Git et que vous devez remplacer do par le nom réel de votre référentiel. Par exemple, si votre référentiel est nommé my-repo, le chemin d’accès est «/_git/my-repo ».
Cloner le référentiel : si vous utilisez Git et que vous devez vous authentifier, exécutez la commande suivante :

git clone https://{organization}@dev.azure.com/{organization}/_git/{repository}

Remplacez {organization} par le nom de votre organisation Azure DevOps et {repository} par le nom de votre référentiel.

Utiliser un pater dans votre code

Vous pouvez utiliser un PAT dans votre code pour authentifier les demandes d’API et automatiser les flux de travail. Pour ce faire, incluez le PAT dans l’en-tête d’autorisation de vos requêtes HTTP.

Windows
Linux/macOS

Pour fournir le PAT via un en-tête HTTP, commencez par le convertir en chaîne Base64 . L’exemple suivant montre comment effectuer une conversion en Base64 C#.


Authorization: Basic BASE64_USERNAME_PAT_STRING

La chaîne résultante peut ensuite être fournie en tant qu’en-tête HTTP au format suivant.

L’exemple suivant utilise la classe HttpClient en C#.

public static async void GetBuilds()
{
    try
    {
        var personalaccesstoken = "PATFROMWEB";

        using (HttpClient client = new HttpClient())
        {
            client.DefaultRequestHeaders.Accept.Add(
                new System.Net.Http.Headers.MediaTypeWithQualityHeaderValue("application/json"));

            client.DefaultRequestHeaders.Authorization = new AuthenticationHeaderValue("Basic",
                Convert.ToBase64String(
                    System.Text.ASCIIEncoding.ASCII.GetBytes(
                        string.Format("{0}:{1}", "", personalaccesstoken))));

            using (HttpResponseMessage response = client.GetAsync(
                        "https://dev.azure.com/{organization}/{project}/_apis/build/builds?api-version=5.0").Result)
            {
                response.EnsureSuccessStatusCode();
                string responseBody = await response.Content.ReadAsStringAsync();
                Console.WriteLine(responseBody);
            }
        }
    }
    catch (Exception ex)
    {
        Console.WriteLine(ex.ToString());
    }
}

Conseil

Lorsque vous utilisez des variables, ajoutez un $ au début de la chaîne, comme dans l’exemple suivant.

public static async void GetBuilds()
{
   try
  {
      var personalaccesstoken = "PATFROMWEB";

      using (HttpClient client = new HttpClient())
       {
           client.DefaultRequestHeaders.Accept.Add(
              new System.Net.Http.Headers.MediaTypeWithQualityHeaderValue("application/json"));

           client.DefaultRequestHeaders.Authorization = new AuthenticationHeaderValue("Basic",
               Convert.ToBase64String(
                   System.Text.ASCIIEncoding.ASCII.GetBytes(
                       string.Format("{0}:{1}", "", personalaccesstoken))));

          using (HttpResponseMessage response = client.GetAsync(
                       $"https://dev.azure.com/{organization}/{project}/_apis/build/builds?api-version=5.0").Result)
           {
               response.EnsureSuccessStatusCode();
               string responseBody = await response.Content.ReadAsStringAsync();
               Console.WriteLine(responseBody);
           }
       }
   }
   catch (Exception ex)
   {
       Console.WriteLine(ex.ToString());
   }
}

L’exemple suivant obtient une liste de builds utilisant curl.


curl -u :{PAT} https://dev.azure.com/{organization}/_apis/build-release/builds

Lorsque votre code fonctionne, il est judicieux de passer de l’authentification de base à OAuth.

Pour plus d’informations et des exemples d’utilisation des PAT, consultez les articles suivants :

Modifier un PAT

Effectuez les étapes suivantes pour :

Régénérez un pater pour créer un jeton, ce qui invalide la précédente.
Étendre un PAT pour augmenter sa période de validité.
Modifiez l’étendue d’un PAT pour modifier ses autorisations.

Dans votre page d’accueil, ouvrez vos paramètres utilisateur, puis sélectionnez Profil.
Sous Sécurité, sélectionnez Jetons d’accès personnels. Sélectionnez le jeton que vous souhaitez modifier, puis modifiez.
Modifiez le nom du jeton, l’expiration du jeton ou l’étendue de l’accès associé au jeton, puis sélectionnez Enregistrer.

Révoquer un PAT

Vous pouvez révoquer un pat à tout moment pour ces raisons et pour d’autres raisons :

Révoquez un pat si vous soupçonnez qu’il est compromis.
Révoquez un pat lorsqu’il n’est plus nécessaire.
Révoquez un pater pour appliquer des stratégies de sécurité ou des exigences de conformité.

Dans votre page d’accueil, ouvrez vos paramètres utilisateur, puis sélectionnez Profil.
Sous Sécurité, sélectionnez Jetons d’accès personnels. Sélectionnez le jeton pour lequel vous souhaitez révoquer l’accès, puis sélectionnez Révoquer.
Sélectionnez Révoquer dans la boîte de dialogue de confirmation.

Pour plus d’informations, consultez Révoquer les PAT utilisateur pour les administrateurs.

Modifications apportées au format

À compter de juillet 2024, nous avons considérablement modifié le format des PAT émis par Azure DevOps. Ces modifications offrent davantage d’avantages en matière de sécurité et améliorent les outils de détection des secrets disponibles via nos offres partenaires, telles que GitHub Advanced Security pour Azure DevOps. Ce nouveau format PAT suit le format recommandé pour tous les produits Microsoft. L’inclusion de bits plus identifiables améliore le taux de détection faux positifs de ces outils de détection secrète et nous permet d’atténuer les fuites détectées plus rapidement.

Modifications clés :

Longueur accrue du jeton : les nouveaux jetons sont désormais de 84 caractères, avec 52 caractères étant des données aléatoires. Cette longueur accrue améliore l’entropie globale, ce qui rend les jetons plus résistants aux attaques potentielles par force brute.
Signature fixe : Les jetons émis par notre service incluent une signature fixe AZDO aux positions 76-80.

Action nécessaire :

Régénérer les PAT existants : nous vous recommandons vivement de régénérer tous les PAT actuellement utilisés pour tirer parti de ces améliorations de sécurité.
Prise en charge de l’intégrateur : les intégrateurs doivent mettre à jour leurs systèmes pour prendre en charge les longueurs de jeton nouvelles et existantes.

Important

Les deux formats restent valides pour un avenir prévisible, mais nous encourageons activement les clients à passer au nouveau format de 84 caractères. À mesure que l’adoption du nouveau format augmente, nous envisageons de mettre hors service le format de 52 caractères plus ancien et tous les jetons émis dans ce style.

FAQ

Q : Pourquoi ne puis-je pas modifier ou régénérer un pat étendu à une seule organisation ?

R : Vérifiez que vous êtes connecté à l’organisation où votre PAT est étendu. Vous pouvez afficher tous vos PAT lors de la connexion à n’importe quelle organisation dans le même ID Microsoft Entra, mais vous ne pouvez modifier que les jetons d’étendue de l’organisation lorsque vous êtes connecté à l’organisation à laquelle elles sont étendues.

Q : Que se passe-t-il à un pater si un compte d’utilisateur est désactivé ?

R : Lorsqu’un utilisateur est supprimé d’Azure DevOps, le pat invalide dans un délai de 1 heure. Si votre organisation est connectée à l’ID Microsoft Entra, le PAT invalide également l’ID Microsoft Entra, car il appartient à l’utilisateur. Nous vous recommandons de faire pivoter le PAT vers un autre compte d’utilisateur ou de service pour maintenir l’exécution des services.

Q : Existe-t-il un moyen de renouveler un PAT via l’API REST ?

R : Oui, il existe un moyen de renouveler, de gérer et de créer des PAT à l’aide de nos API de gestion du cycle de vie PAT. Pour plus d’informations, consultez Gérer les PAT à l’aide de l’API REST et des FAQ.

Q : Puis-je utiliser l’authentification de base avec toutes les API REST Azure DevOps ?

R : Non. Vous pouvez utiliser l’authentification de base avec la plupart des API REST Azure DevOps, mais les organisations et les profils prennent uniquement en charge OAuth. Pour plus d’informations, consultez Gérer les PAT à l’aide de l’API REST.

Q : Que se passe-t-il si je vérifie accidentellement mon PAT dans un dépôt public sur GitHub ?

R : Azure DevOps analyse les paTs archivés dans des référentiels publics sur GitHub. Lorsque nous trouvons un jeton divulguée, nous envoyons immédiatement une notification par e-mail détaillée au propriétaire du jeton et journalisons un événement dans le journal d’audit de votre organisation Azure DevOps. Sauf si vous avez désactivé la stratégie de jetons d’accès personnels supprimés automatiquement, nous révoquez immédiatement le mot de passe divulguée. Nous encourageons les utilisateurs affectés à atténuer le problème en révoquant le jeton fuite et en le remplaçant par un nouveau jeton.

Pour plus d’informations, consultez Révoquer automatiquement les PAT divulguées.

Q : Puis-je utiliser un jeton d’accès personnel comme ApiKey pour publier des packages NuGet sur un flux Azure Artifacts à l’aide de la ligne de commande dotnet/nuget.exe ?

R : Non. Azure Artifacts ne prend pas en charge la transmission d’un jeton d’accès personnel en tant que ApiKey. Lorsque vous utilisez un environnement de développement local, nous vous recommandons d’installer le Fournisseur d’informations d’identification Azure Artifacts pour vous authentifier auprès d’Azure Artifacts. Si vous souhaitez obtenir plus d’informations, consultez les exemples suivants : dotnet, NuGet.exe. Si vous souhaitez publier vos packages à l’aide d’Azure Pipelines, utilisez la tâche d’authentification NuGet pour vous authentifier avec votre exemple de flux.

Q : Pourquoi mon PAT a-t-il cessé de fonctionner ?

R : L’authentification PAT vous oblige à vous connecter régulièrement à Azure DevOps à l’aide du flux d’authentification complet. La connexion une fois toutes les 30 jours est suffisante pour de nombreux utilisateurs, mais vous devrez peut-être vous connecter plus fréquemment en fonction de votre configuration Microsoft Entra. Si votre PAT cesse de fonctionner, commencez par vous connecter à votre organisation et terminez l’invite d’authentification complète. Si votre PAT ne fonctionne toujours pas, vérifiez s’il a expiré.

Q : Comment faire créer des clés d’accès qui ne sont pas liées à une personne spécifique à des fins de déploiement ?

R : Dans Azure DevOps, vous pouvez créer des clés d’accès qui ne sont pas liées à une personne spécifique à l’aide de principaux de service ou de gestion des identités. Pour plus d’informations, consultez Gérer les connexions de service, utiliser les secrets Azure Key Vault dans Azure Pipelines.

Partage via

Utiliser des jetons d’accès personnels

Prérequis

Créer un PAT

Notifications

Notification inattendue

Utiliser un pat

Référentiels existants

Utiliser un pater dans votre code

Modifier un PAT

Révoquer un PAT

Modifications apportées au format

FAQ

Q : Pourquoi ne puis-je pas modifier ou régénérer un pat étendu à une seule organisation ?

Q : Que se passe-t-il à un pater si un compte d’utilisateur est désactivé ?

Q : Existe-t-il un moyen de renouveler un PAT via l’API REST ?

Q : Puis-je utiliser l’authentification de base avec toutes les API REST Azure DevOps ?

Q : Que se passe-t-il si je vérifie accidentellement mon PAT dans un dépôt public sur GitHub ?

Q : Puis-je utiliser un jeton d’accès personnel comme ApiKey pour publier des packages NuGet sur un flux Azure Artifacts à l’aide de la ligne de commande dotnet/nuget.exe ?

Q : Pourquoi mon PAT a-t-il cessé de fonctionner ?

Q : Comment faire créer des clés d’accès qui ne sont pas liées à une personne spécifique à des fins de déploiement ?

Commentaires

Ressources supplémentaires

Partage via

Utiliser des jetons d’accès personnels

Prérequis

Créer un PAT

Notifications

Notification inattendue

Utiliser un pat

Référentiels existants

Utiliser un pater dans votre code

Modifier un PAT

Révoquer un PAT

Modifications apportées au format

Articles connexes

FAQ

Q : Pourquoi ne puis-je pas modifier ou régénérer un pat étendu à une seule organisation ?

Q : Que se passe-t-il à un pater si un compte d’utilisateur est désactivé ?

Q : Existe-t-il un moyen de renouveler un PAT via l’API REST ?

Q : Puis-je utiliser l’authentification de base avec toutes les API REST Azure DevOps ?

Q : Que se passe-t-il si je vérifie accidentellement mon PAT dans un dépôt public sur GitHub ?

Q : Puis-je utiliser un jeton d’accès personnel comme ApiKey pour publier des packages NuGet sur un flux Azure Artifacts à l’aide de la ligne de commande dotnet/nuget.exe ?

Q : Pourquoi mon PAT a-t-il cessé de fonctionner ?

Q : Comment faire créer des clés d’accès qui ne sont pas liées à une personne spécifique à des fins de déploiement ?

Commentaires

Ressources supplémentaires