Tudnivalók az engedélyekről és a biztonsági csoportokról

Azure DevOps Services | Azure DevOps Server | Azure DevOps Server 2022

Ebben a cikkben megismerheti a hozzáférési szinteket és engedélyeket öröklés, biztonsági csoportok, szerepkörök és egyebek révén az Azure DevOpsban.

Az alapértelmezett engedélyek áttekintéséhez tekintse meg az Alapértelmezett engedélyek rövid útmutatóját.

További információ: Biztonsági áttekintés.

Jótanács

Az AI használatával segíthet az Azure DevOps-feladatokban. Az első lépésekhez tekintse meg az Azure DevOps MCP Serverrel kapcsolatos AI-segítség engedélyezése című témakört.

Hozzáférési szintek

Minden Azure DevOps-felhasználó rendelkezik hozzáférési szinttel, amely adott webportál-funkciókhoz biztosít vagy korlátozza a hozzáférést. Három fő hozzáférési szint létezik: az érdekelt felek, az alapszintű és az alapszintű + tesztcsomagok. Ha hozzáférést szeretne adni a felhasználónak az Agile-portfóliókezelési vagy -tesztelési esetkezelési funkciókhoz, módosítsa a hozzáférési szinteket, ne az engedélyeket. További információ: A hozzáférési szintek ismertetése.

Engedélyek

Az Azure DevOps összes felhasználója egy vagy több alapértelmezett biztonsági csoporthoz tartozik. Engedélyek hozzárendelése olyan biztonsági csoportokhoz, amelyek engedélyezik vagy megtagadják a szolgáltatásokhoz vagy tevékenységekhez való hozzáférést.

• A tagok öröklik a biztonsági csoportjukhoz rendelt engedélyeket.
• Engedélyek meghatározása különböző szinteken: szervezet/gyűjtemény, projekt vagy objektum.
• Bizonyos engedélyek kezelése szerepköralapú hozzárendelésekkel (például csapatadminisztrátor, bővítménykezelés vagy folyamaterőforrás-szerepkörök).
• A rendszergazdák egyéni biztonsági csoportokat határozhatnak meg a különböző funkcionális területek engedélyeinek kezeléséhez.

Az Azure DevOpsban az engedélyek kezelése két fő csoportot foglal magában: a projektgyűjteménygazdákat és a projektgazdákat.

Projektgyűjtemény-rendszergazdák:

• Tartsa a legmagasabb szintű jogosultságot egy szervezeten vagy projektgyűjteményen belül.
• Hajtsa végre a teljes gyűjtemény összes műveletét.
• A szervezet beállításainak, szabályzatainak és folyamatainak kezelése.
• Hozza létre és kezelje az összes projektet és bővítményt.

Projektgazdák:

• A projekt szintjén működjön.
• Biztonsági csoportok és engedélyek kezelése a webes portál Project beállításaiból.
• Kezelheti a projekten belül létrehozott egyes objektumokhoz tartozó engedélyeket.

Engedélyállapotok

Engedélyek hozzárendelése a hozzáférés megadásához vagy korlátozásához:

A felhasználó vagy csoport rendelkezik engedéllyel:

• Engedélyezés
• Engedélyezés (öröklött)
• Engedélyez (rendszer)

A felhasználó vagy csoport nem rendelkezik engedéllyel:

• Megtagadás
• Megtagadás (öröklött)
• Megtagadás (rendszer)
• Nincs beállítva

Engedély állapota	Leírás
Engedélyezés	Explicit módon lehetővé teszi a felhasználóknak adott feladatok elvégzését, és nem öröklik a csoporttagságtól.
Engedélyezés (öröklött)	Lehetővé teszi a csoporttagok számára adott feladatok elvégzését.
Engedélyezés (rendszer)	Olyan engedélyeket ad meg, amelyek elsőbbséget élveznek a felhasználói engedélyekkel szemben. A felhasználók számára láthatatlan konfigurációs adatbázisban tárolt és nem szerkeszthető.
Deny	Explicit módon korlátozza a felhasználókat az adott feladatok elvégzésében, és nem öröklik a csoporttagságtól. A legtöbb csoportnál és szinte az összes engedélynél a Megtagadás felülírja az Engedélyezést. Ha egy felhasználó két csoporthoz tartozik, és az egyiknek a Megtagadás jogosultsága van, akkor az adott felhasználó akkor sem hajthat végre olyan feladatokat, amelyek ehhez az engedélyhez szükségesek, még akkor sem, ha olyan csoporthoz tartoznak, amelynek az engedély beállítása Engedélyezés.
Megtagadás (öröklött)	Korlátozza a csoporttagok számára, hogy meghatározott feladatokat hajtsanak végre. Explicit engedély felülbírálása.
Megtagadás (rendszer)	Korlátozza azokat az engedélyeket, amelyek elsőbbséget élveznek a felhasználói engedélyekkel szemben. A felhasználók számára láthatatlan konfigurációs adatbázisban tárolt és nem szerkeszthető.
Nincs beállítva	Implicit módon megtagadja a felhasználóktól az engedélyt igénylő feladatok elvégzését, de engedélyezi az ilyen engedéllyel rendelkező csoporttagság számára, hogy elsőbbséget élvezhessenek, más néven Engedélyezés (örökölt) vagy Megtagadás (öröklött) néven.

Előfordulhat, hogy a Projektgyűjtemény rendszergazdái vagy a Team Foundation-rendszergazdák csoport tagjai mindig kapnak engedélyeket, még akkor is, ha egy másik csoportban megtagadják. Az alábbi példák részletesebben ismertetik ezt a forgatókönyvet:

• A felhasználók továbbra is hozzáférhetnek a projektbeállításokhoz, vagy kezelhetik a felhasználókat. Az olyan feladatok esetében, mint a munkaelemek törlése vagy a folyamatkezelés, a Projektcsoportgazdák csoport tagjaként azonban nem bírálja felül a máshol beállított megtagadási engedélyeket.
• Ha egy felhasználó nem jogosult egy adott projekt munkaelemeinek törlésére, akkor sem törölheti a munkaelemeket, még akkor sem, ha a Projektgyűjteménygazdák csoport tagja. Hasonlóképpen, ha a folyamatengedélyek megtagadva vannak, rendszergazdai szerepkörük ellenére nem tudják kezelni vagy futtatni a folyamatokat.

Figyelmeztetés

Ha módosít egy csoport engedélyét, az az adott csoport összes felhasználóját érinti. Akár egyetlen engedélymódosítás is több száz felhasználót érinthet, ezért mielőtt bármilyen módosítást végez, fontolja meg a lehetséges hatásokat.

Engedélyek öröklése

Az engedélyek egy hierarchiát követnek, így örökölheti a szülőcsomópont engedélyeit, vagy felülbírálhatja őket.

Csoportöröklés:

• A felhasználók öröklik az engedélyeket azoktól a csoportoktól, amelyekhez tartoznak.
• Ha egy felhasználó közvetlenül vagy csoporttagságon keresztül engedélyezési engedéllyel rendelkezik, de egy másik csoporton keresztül megtagadási engedéllyel is rendelkezik, a Megtagadási engedély elsőbbséget élvez.
• A Projektcsoportgazdák vagy a Team Foundation rendszergazdái akkor is megtartják a legtöbb engedélyezett engedélyt, ha más olyan csoportokhoz tartoznak, amelyek megtagadják ezeket az engedélyeket (a munkaelem-műveletek kivételével).

Objektumszintű öröklés:

Objektumszintű engedélyeket rendelhet csomópontokhoz, például területekhez, iterációkhoz, verziókövetési mappákhoz és munkaelem-lekérdezési mappákhoz. Ezek az engedélyek öröklődnek a hierarchiában.

Engedélyöröklési és -specifikussági szabályok:

• Az explicit engedélyek mindig elsőbbséget élveznek az örököltekkel szemben.
• A magasabb szintű csomóponton beállított engedélyeket az összes alcsomópont örökli, kivéve, ha explicit módon felül van bírálva.
• Ha egy alcsomóponthoz nincs explicit módon engedélyezve vagy megtagadva egy engedély, akkor a szülőtől örökli az engedélyt.
• Ha egy alcsomóponthoz explicit módon van beállítva engedély, a szülő engedélye nem öröklődik, függetlenül attól, hogy engedélyezett vagy elutasított.

Sajátlagosság:

Az objektumhierarchiában a specificitás elsőbbséget élvez az öröklődéssel szemben. A legspecifikusabb engedély elsőbbséget élvez, ha ütköző engedélyek léteznek.

Példa:

• Explicit deny on area-1 (szülőcsomópont).
• Kifejezetten engedélyezzükarea-1/sub-area-1 (gyermek-csomópont).
• Ebben az esetben a felhasználó Engedélyt kaparea-1/sub-area-1 felülbírálva az örökölt megtagadást a szülőcsomópontból.

Ha szeretné megtudni, hogy miért öröklődik egy engedély, szüneteltetjen egy engedélybeállítást, majd válassza a Miért lehetőséget?Biztonsági lap megnyitásához tekintse meg az engedélyek megtekintése című témakört.

Megjegyzés

A Projektengedélyek beállításai lap előnézeti oldalának engedélyezéséhez lásd : Előzetes verziójú funkciók engedélyezése.

Előnézeti oldal

Megnyílik egy új párbeszédpanel, amely megjeleníti az engedély öröklési adatait.

Aktuális oldal

Az új ablak az engedély öröklési adatait jeleníti meg.

Biztonsági csoportok és tagság

A biztonsági csoportok adott engedélyeket rendelnek a tagjaikhoz.

Szervezet, gyűjtemény vagy projekt létrehozásakor az Azure DevOps létrehoz egy alapértelmezett biztonsági csoportokat, és automatikusan alapértelmezett engedélyeket rendel ezekhez a csoportokhoz. További biztonsági csoportokat a következő műveletekkel határozhat meg:

• Egyéni biztonsági csoportok létrehozása a következő szinteken:
  • Projekt szintű
  • Szervezeti vagy gyűjteményszintű
  • Kiszolgálószintű (csak helyszíni)
• Csoport hozzáadása, amely létrehoz egy csoportbiztonsági csoportot

Objektumszintű biztonsági csoport nem hozható létre, de hozzárendelhet egy egyéni csoportot egy objektumszinthez, és engedélyeket rendelhet hozzá ehhez a szinthez. További információ: Objektumszintű engedélyek beállítása.

Alapértelmezett biztonsági csoportok

A legtöbb Azure DevOps-felhasználó hozzá lesz adva a Közreműködők biztonsági csoporthoz, és megkapja az alapszintű hozzáférési szintet. A Közreműködők csoport olvasási és írási hozzáférést biztosít az adattárakhoz, a munkakövetéshez, a folyamatokhoz és egyebekhez. Az alapszintű hozzáférés hozzáférést biztosít az Azure Boards, az Azure Repos, az Azure Pipelines és az Azure Artifacts használatához szükséges összes funkcióhoz és feladathoz. Azok a felhasználók, akiknek hozzáférésre van szükségük az Azure-tesztcsomagok kezeléséhez , alapszintű + tesztcsomagokat vagy speciális hozzáférést igényelnek.

Alapértelmezés szerint az alábbi biztonsági csoportok vannak definiálva minden projekthez és szervezethez. Általában felhasználókat vagy csoportokat ad hozzá az Olvasók, Közreműködők vagy Projektgazdák csoportokhoz.

Projekt	Szervezet vagy gyűjtemény
– Rendszergazdák létrehozása -Közreműködők - Projektgazdák - Projekt érvényes felhasználói -Olvasók - Kiadási rendszergazdák - TeamName csapat	Projektgyűjtemény-adminisztrátorok – Projektek gyűjteményének buildadminisztrátorai - Projektgyűjtemény építési szolgáltatás-fiókok - Projektgyűjtemény proxy szolgáltatás-fiókjai - Projektgyűjteményi szolgáltatásfiókok – Projektgyűjtési tesztszolgáltatás-fiókok - Projektgyűjtemény – Érvényes felhasználók - Projekt hatáskörű felhasználók - Biztonsági Szolgáltatási Csoport

Az egyes csoportok leírását a biztonsági csoportok, a szolgáltatásfiókok és az engedélyek című témakörben talál. A leggyakoribb alapértelmezett biztonsági csoportokhoz végzett alapértelmezett engedély-hozzárendelésekről az Alapértelmezett engedélyek és hozzáférés című témakörben olvashat.

Projektszintű funkciókat kezelő felhasználók hozzáadása a Projektgazdák csoporthoz . Ezek a funkciók közé tartoznak a csapatok, a terület- és iterációs útvonalak, az adattárak, a szolgáltatáshookok és a szolgáltatásvégpontok.

A szervezet- vagy gyűjteményszintű funkciókat kezelő felhasználók hozzáadása a Projektgyűjteménygazdák csoporthoz . Ezek a funkciók közé tartoznak a projektek, szabályzatok, folyamatok, megtartási szabályzatok, ügynök- és telepítési készletek, valamint bővítmények. További információért lásd Felhasználói, csapat-, projekt- és szervezet szintű beállítások.

Tagság, engedély és hozzáférési szint kezelése

Az Azure DevOps az alábbi három, egymáshoz kapcsolódó funkcionális területen keresztül szabályozza a hozzáférést:

• A Tagságkezelés egyes felhasználói fiókok és csoportok alapértelmezett biztonsági csoportokba való felvételét támogatja. Minden alapértelmezett csoporthoz az alapértelmezett engedélyek egy halmaza tartozik. A rendszer minden biztonsági csoporthoz hozzáadott felhasználót hozzáad az Érvényes felhasználók csoporthoz. Az érvényes felhasználók azok, akik projektekhez, gyűjteményekhez vagy szervezetekhez csatlakozhatnak.
• Az Engedélykezelés szabályozza az adott funkcionális tevékenységekhez való hozzáférést a rendszer különböző szintjein. Az objektumszintű engedélyek fájlra, mappára, buildelési folyamatra vagy megosztott lekérdezésre vonatkozó engedélyeket állíthatnak be. Az engedélybeállítások az Engedélyezés, Megtagadás, Örökölt engedélyezés, Örökölt megtagadás, Rendszer engedélyezése, Rendszer megtagadása és Nincs beállítva értékeknek felelnek meg.
• A hozzáférés-szint kezelése szabályozza a webportál funkcióihoz való hozzáférést. A felhasználók által megvásároltak alapján a rendszergazdák beállítják a felhasználó hozzáférési szintjét az Érintett,az Alapszintű, az Alapszintű + Teszt vagy a Visual Studio Enterprise (korábban Speciális) értékre.

Mindegyik funkcionális terület biztonsági csoportokkal teszi egyszerűbbé a kezelést a teljes üzemelő rendszeren. Felhasználók és csoportok a webes adminisztrációs környezetben vehetők fel. A rendszer automatikusan beállítja az engedélyeket azon biztonsági csoport alapján, amelybe felhasználókat ad hozzá. Vagy az engedélyek azon az objektum-, projekt-, gyűjtemény- vagy kiszolgálószinten alapulnak, amelyhez csoportokat ad hozzá.

A biztonsági csoportok tagsága állhat vegyesen felhasználókból, más csoportokból, és Microsoft Entra-csoportokból.

Active Directory és Microsoft Entra biztonsági csoportok

A biztonsági csoportokat egyéni felhasználók hozzáadásával is feltöltheti. A könnyű kezelés érdekében azonban hatékonyabban tölthetők fel ezek a csoportok az Azure DevOps Serviceshez és az Active Directoryhoz (AD) vagy az Azure DevOps Server windowsos felhasználói csoportjaihoz készült Microsoft Entra-azonosítóval. Ezzel a módszerrel hatékonyabban kezelheti a csoporttagságokat és az engedélyeket több számítógépen.

Ha csak kis számú felhasználót kell kezelnie, kihagyhatja ezt a lépést. Ha azonban a szervezet növekedésére számít, fontolja meg az Active Directory vagy a Microsoft Entra-azonosító beállítását. Emellett ha további szolgáltatásokat szeretne használni, elengedhetetlen a Microsoft Entra ID konfigurálása az Azure DevOpsszal való használatra a számlázás támogatásához.

Megjegyzés

A Microsoft Entra-azonosító nélkül minden Azure DevOps-felhasználónak Microsoft-fiókokkal kell bejelentkeznie, és a fiókhozzáférést egyéni felhasználói fiókoknak kell kezelnie. Még ha Microsoft-fiókokkal is kezeli a fiókhozzáférést, állítson be egy Azure-előfizetést a számlázás kezeléséhez.

Ha be szeretné állítani a Microsoft Entra ID-t az Azure DevOps Serviceshez való használatra, olvassa el a Szervezet csatlakoztatása a Microsoft Entra-azonosítóhoz című témakört.

Amikor szervezete csatlakozik a Microsoft Entra-azonosítóhoz, különböző szervezeti szabályzatokat határozhat meg és kezelhet a biztonság javítása és az alkalmazásokhoz való hozzáférés egyszerűsítése érdekében. További információ: Tudnivalók a biztonságról és a biztonsági szabályzatokról.

A szervezeti hozzáférés Microsoft Entra-azonosítóval történő kezeléséhez tekintse meg a következő cikkeket:

• Felhasználók hozzáadása vagy törlése a Microsoft Entra ID használatával
• Hozzáférés hibaelhárítása a Microsoft Entra-azonosítóval

Az Azure DevOps a Microsoft Entra-azonosítóban történt módosítást követő egy órán belül regisztrálja a Microsoft Entra-csoport módosításait. A csoporttagságon keresztül örökölt engedélyek frissülnek. Ha frissíteni szeretné Microsoft Entra-tagságát és örökölt engedélyeit az Azure DevOpsban, jelentkezzen ki, majd jelentkezzen be újra, vagy aktiváljon egy frissítést az engedély újraértékeléséhez.

Érvényes felhasználói csoportok

Amikor közvetlenül egy biztonsági csoporthoz ad hozzá felhasználói fiókokat, a felhasználók automatikusan az alábbi érvényes felhasználói csoportok egyikének részévé válnak.

• Projektgyűjtemény érvényes felhasználói: Minden tag hozzáadva egy szervezeti szintű csoporthoz.
• Projekt érvényes felhasználói: A projektszintű csoporthoz hozzáadott összes tag.

Az ezekhez a csoportokhoz rendelt alapértelmezett engedélyek elsősorban olvasási hozzáférést biztosítanak, például a buildelési erőforrások megtekintése, a projektszintű információk megtekintése és a gyűjteményszintű információk megtekintése.

Az egyik projekthez hozzáadott összes felhasználó megtekintheti a gyűjtemény más projektjeiben lévő objektumokat. A nézethozzáférés korlátozásához korlátozásokat állíthat be a terület elérési útjának csomópontja segítségével. Ha eltávolítja vagy megtagadja az Érvényes felhasználók csoport egyik példányszintű információinak megtekintésére vonatkozó engedélyt, a csoport egyetlen tagja sem férhet hozzá a projekthez, gyűjteményhez vagy üzembe helyezéshez a beállított csoporttól függően.

Projekt hatókörű felhasználói csoport

A szervezethez hozzáadott felhasználók alapértelmezés szerint megtekinthetik a szervezet és a projekt összes adatát és beállításait. Ezek a beállítások tartalmazzák a felhasználók listáját, a projektek listáját, a számlázási adatokat, a használati adatokat és egyebeket, amelyeket a szervezeti beállításokon keresztül érhet el.

Bizonyos felhasználók, például az Érdekelt felek, a Microsoft Entra vendégfelhasználói vagy egy adott biztonsági csoport tagjai korlátozásához engedélyezheti a felhasználók láthatóságának és együttműködésének korlátozását a szervezet adott projektek előzetes verziójának funkciójára. Ha engedélyezve van, a Projekt hatókörű felhasználók csoporthoz hozzáadott felhasználók vagy csoportok az Áttekintés és a Projektek kivételével nem férhetnek hozzá a Szervezeti beállítások lapjaihoz. Csak azokhoz a projektekhez férhetnek hozzá, amelyekhez ön hozzáadja őket.

Figyelmeztetés

Az előzetes verziójú funkció használatakor vegye figyelembe a következő korlátozásokat:

• Az ebben a szakaszban ismertetett korlátozott láthatósági funkciók csak a webes portálon keresztüli interakciókra vonatkoznak. A REST API-k vagy azure devops CLI-parancsok segítségével a projekttagok hozzáférhetnek a korlátozott adatokhoz.
• A korlátozott csoportban lévő felhasználók csak olyan felhasználókat választhatnak ki, akik kifejezetten hozzáadva vannak az Azure DevOpshoz, és nem azok a felhasználók, akik a Microsoft Entra-csoporttagságon keresztül rendelkeznek hozzáféréssel.
• Azok a vendégfelhasználók, akik a Microsoft Entra-azonosítóban alapértelmezett hozzáféréssel rendelkező korlátozott csoport tagjai, nem kereshetnek felhasználókat a személyválasztóval.

További információ: Előzetes verziójú funkciók kezelése.

Megjegyzés

A biztonsági csoportok kezelése a szervezet szintjén történik, még akkor is, ha adott projektekhez használják őket. A felhasználói engedélyektől függően előfordulhat, hogy egyes csoportok rejtve vannak a webes portálon. A szervezet összes csoportnevének megtekintéséhez használhatja az Azure DevOps CLI-eszközt vagy a REST API-kat. További információ: Biztonsági csoportok hozzáadása és kezelése.

Szerepköralapú engedélyek

Szerepköralapú engedélyekkel felhasználói fiókokat vagy biztonsági csoportokat rendelhet hozzá egy szerepkörhöz, és mindegyik szerepkörhöz egy vagy több engedély tartozik. A következő erőforrások támogatják a szerepköralapú engedélyeket:

• Összetevő vagy csomagcsatorna biztonsági szerepkörei
• Marketplace extension Manager szerepkör
• Folyamatbiztonsági szerepkörök
• Csapatadminisztrátori szerepkör

További információ: A folyamatbiztonsági szerepkörök ismertetése.

Az alábbi kép bemutatja, hogy a projekt- és gyűjteményszinten definiált biztonsági csoportok hogyan rendelhetnek engedélyeket objektumokhoz, projektekhez és a szervezethez.

A Projektgazdák vagy a Projektcsoportgazdák csoport tagjai az összes csapat összes csapateszközét kezelik.

Előzetes verziós funkciók

A funkciójelzők az új funkciókhoz való hozzáférést szabályozzák. Az Azure DevOps rendszeresen új funkciókat vezet be egy funkciójelző mögött. A projekttagok és a szervezet tulajdonosai engedélyezhetik vagy letilthatják az előzetes verziójú funkciókat. További információ: Szolgáltatások kezelése vagy engedélyezése.

Következő lépés

Alapértelmezett engedélyek és hozzáférés

Kapcsolódó tartalom

• Hozzáféréssel és engedélyekkel kapcsolatos problémák elhárítása
• Tudnivalók a biztonságról, a hitelesítésről és az engedélyezésről
• Referenciaengedélyek és csoportok
• Biztonsági csoportok hozzáadása és kezelése