Comment nous stockons vos informations d’identification pour Azure DevOps Services

  • Article

Azure DevOps Services

Important

Azure DevOps ne prend plus en charge l’authentification d’autres informations d’identification depuis le 2 mars 2020. Si vous utilisez encore d’autres informations d’identification, nous vous encourageons vivement à passer à une méthode d’authentification plus sécurisée (par exemple, les jetons d’accès personnels). Plus d’informations

Sécurité des informations d’identification

Microsoft s’engage à garantir que vos projets restent sécurisés, sans exception. Dans Azure DevOps, vos projets bénéficient de plusieurs couches de technologies de sécurité et de gouvernance, de pratiques opérationnelles et de stratégies de conformité. Nous appliquons la confidentialité et l’intégrité des données au repos et en transit. En outre, nous respectons les pratiques suivantes en ce qui concerne les informations d’identification ou les secrets qu’Azure DevOps stocke. Pour en savoir plus sur la façon de choisir le mécanisme d’authentification approprié, consultez Conseils pour l’authentification.

Jetons d’accès personnels (PAT)

  • Nous stockons un hachage du PAT
  • Le PAT brut est généré en mémoire côté serveur sous forme de 32 octets générés de manière aléatoire via RNGCryptoServiceProvider, puis partagés avec l’appelant sous forme de chaîne codée en base 32. Cette valeur n’est PAS stockée
  • Le hachage PAT est généré en mémoire côté serveur en tant que HMACSHA256Hash du PAT brut à l’aide d’une clé de signature symétrique de 64 octets stockée dans notre coffre de clés
  • Le hachage est stocké dans notre base de données

Clés SSH (Secure Shell)

  • Nous stockons un hachage de l’ID de organization englobant et de la clé publique SSH
  • La clé publique brute est fournie directement par l’appelant via SSL
  • Le hachage SSH est généré en mémoire côté serveur en tant que HMACSHA256Hash de l’ID organization et de la clé publique brute à l’aide d’une clé de signature symétrique de 64 octets stockée dans notre coffre de clés
  • Le hachage est stocké dans notre base de données

Informations d’identification OAuth (JWT)

  • Ces jetons sont émis en tant que jetons web JSON entièrement auto-descriptifs (JWT) et ne sont PAS stockés dans notre service
  • Les revendications dans les JWT émises et présentées à notre service sont validées à l’aide d’un certificat stocké dans notre coffre de clés