Tudnivalók az engedélyekről és a biztonsági csoportokról

Azure DevOps Services | Azure DevOps Server 2022 – Azure DevOps Server 2019

Ebben a cikkben megismerheti a hozzáférési szinteket és engedélyeket öröklés, biztonsági csoportok, szerepkörök és egyebek révén az Azure DevOpsban.

Az alapértelmezett engedélyek áttekintéséhez tekintse meg az Alapértelmezett engedélyek rövid útmutatóját.

További információ: Ajánlott biztonsági eljárások.

Hozzáférési szintek

Minden Azure DevOps-felhasználó rendelkezik hozzáférési szinttel, amely adott webportál-funkciókhoz biztosít vagy korlátozza a hozzáférést.

Három fő hozzáférési szint létezik: az érdekelt felek, az alapszintű és az alapszintű + tesztcsomagok. Az érdekelt felek hozzáférése korlátlan számú felhasználó számára biztosít ingyenes hozzáférést korlátozott funkciókhoz. További információ: Érdekelt hozzáférés – rövid referencia.

Ha hozzáférést szeretne adni a felhasználónak az Agile-portfóliókezelési vagy -tesztelési esetkezelési funkciókhoz, módosítsa a hozzáférési szinteket, ne az engedélyeket. További információ: A hozzáférési szintek ismertetése.

Engedélyek

Az Azure DevOps összes felhasználója egy vagy több alapértelmezett biztonsági csoporthoz tartozik. A biztonsági csoportok olyan engedélyeket kapnak, amelyek engedélyezik vagy megtagadják a szolgáltatásokhoz vagy feladatokhoz való hozzáférést.

• A tagok öröklik a biztonsági csoportjukhoz rendelt engedélyeket.
• Az engedélyek különböző szinteken definiálhatók: szervezet/gyűjtemény, projekt vagy objektum.
• Egyes engedélyek szerepköralapú hozzárendelésekkel (például csapatadminisztrátor, bővítménykezelés vagy folyamaterőforrás-szerepkörök) kezelhetők .
• A rendszergazdák egyéni biztonsági csoportokat határozhatnak meg a különböző funkcionális területek engedélyeinek kezeléséhez.

További információ: Ajánlott biztonsági eljárások, biztonsági és felhasználói csoportok.

Az Azure DevOpsban az engedélyek kezelése két fő csoportot foglal magában: a projektgyűjteménygazdákat és a projektgazdákat.

Projektgyűjtemény-rendszergazdák:

• Tartsa a legmagasabb szintű jogosultságot egy szervezeten vagy projektgyűjteményen belül.
• Hajtsa végre a teljes gyűjtemény összes műveletét.
• A szervezet beállításainak, szabályzatainak és folyamatainak kezelése.
• Hozza létre és kezelje az összes projektet és bővítményt.

Projektgazdák:

• A projekt szintjén működjön.
• Biztonsági csoportok és engedélyek kezelése a webes portál Project beállításaiból.
• A közreműködők a projekten belül létrehozott adott objektumok engedélyeit kezelik.

Engedélyállapotok

Engedélyek hozzárendelése a hozzáférés megadásához vagy korlátozásához:

A felhasználó vagy csoport rendelkezik engedéllyel:

• Engedélyezés
• Engedélyezés (öröklött)
• Engedélyezés (rendszer)

A felhasználó vagy csoport nem rendelkezik engedéllyel:

• Megtagadás
• Megtagadás (öröklött)
• Megtagadás (rendszer)
• Nincs beállítva

Engedély állapota	Leírás
Engedélyezés	Kifejezetten engedélyezi a felhasználóknak adott feladatok elvégzését, és nem öröklik a csoporttagságtól.
Engedélyezés (öröklött)	A csoporttagok számára adott feladatokat biztosít.
Engedélyezés (rendszer)	Olyan engedélyeket ad meg, amelyek elsőbbséget élveznek a felhasználói engedélyek előtt. A felhasználók számára láthatatlan konfigurációs adatbázisban nem szerkeszthető és tárolható.
Deny	Explicit módon korlátozza a felhasználókat az adott feladatok elvégzésében, és nem öröklik a csoporttagságtól. A legtöbb csoportnál és szinte az összes engedélynél a Megtagadás felülbírálás engedélyezve van. Ha egy felhasználó két csoporthoz tartozik, és az egyiknek a Megtagadás jogosultsága van, akkor az adott felhasználó akkor sem hajthat végre olyan feladatokat, amelyek ehhez az engedélyhez szükségesek, még akkor sem, ha olyan csoporthoz tartoznak, amelynek az engedély beállítása Engedélyezés.
Megtagadás (öröklött)	Korlátozza a csoporttagok számára, hogy meghatározott feladatokat hajtsanak végre. Explicit engedélyezés felülbírálása.
Megtagadás (rendszer)	Korlátozza azokat az engedélyeket, amelyek elsőbbséget élveznek a felhasználói engedélyek előtt. A felhasználók számára láthatatlan konfigurációs adatbázisban nem szerkeszthető és tárolható.
Nincs beállítva	Implicit módon megtagadja a felhasználóktól az engedélyt igénylő feladatok elvégzését, de engedélyezi az ilyen engedéllyel rendelkező csoporttagság számára, hogy elsőbbséget élvezhessenek, más néven Engedélyezés (örökölt) vagy Megtagadás (öröklött) néven.

Előfordulhat, hogy a Projektgyűjtemény rendszergazdái vagy a Team Foundation-rendszergazdák csoport tagjai mindig kapnak engedélyeket, még akkor is, ha egy másik csoportban megtagadják. Az alábbi példák részletesebben ismertetik ezt a forgatókönyvet:

• A felhasználók továbbra is hozzáférhetnek a projektbeállításokhoz, vagy kezelhetik a felhasználókat. Az olyan feladatok esetében, mint a munkaelemek törlése vagy a folyamatkezelés, a Projektcsoportgazdák csoport tagjaként azonban nem bírálja felül a máshol beállított megtagadási engedélyeket.
• Ha egy felhasználó nem jogosult egy adott projekt munkaelemeinek törlésére, akkor sem törölheti a munkaelemeket, még akkor sem, ha a Projektgyűjteménygazdák csoport tagja. Hasonlóképpen, ha a folyamatengedélyek megtagadva vannak, rendszergazdai szerepkörük ellenére nem tudják kezelni vagy futtatni a folyamatokat.

Figyelmeztetés

Ha módosít egy csoport engedélyét, az az adott csoport összes felhasználóját érinti. Akár egyetlen engedélymódosítás is több száz felhasználót érinthet, ezért fontos megfontolni a lehetséges hatásokat, mielőtt bármilyen módosítást végeznénk.

Engedélyek öröklése

Az engedélyek egy hierarchiát követnek, lehetővé téve az öröklést egy szülőcsomópontról, vagy felülírják azt.

Csoportöröklés:

• A felhasználók öröklik az engedélyeket azoktól a csoportoktól, amelyekhez tartoznak.
• Ha egy felhasználó közvetlenül vagy csoporttagságon keresztül engedélyezési engedéllyel rendelkezik, de egy másik csoporton keresztül megtagadási engedéllyel is rendelkezik, a Megtagadási engedély elsőbbséget élvez.
• A Projektcsoportgazdák vagy a Team Foundation rendszergazdái akkor is megtartják a legtöbb engedélyezett engedélyt, ha más olyan csoportokhoz tartoznak, amelyek megtagadják ezeket az engedélyeket (a munkaelem-műveletek kivételével).

Objektumszintű öröklés:

A csomópontokhoz, például területekhez, iterációkhoz, verzióvezérlő mappákhoz és munkaelem-lekérdezési mappákhoz rendelt objektumszintű engedélyek öröklődnek a hierarchiában.

Engedélyöröklési és -specifikussági szabályok:

• Az explicit engedélyek mindig elsőbbséget élveznek az örököltekkel szemben.
• A magasabb szintű csomóponton beállított engedélyeket az összes alcsomópont örökli, kivéve, ha explicit módon felül van bírálva.
• Ha egy alcsomóponthoz nincs explicit módon engedélyezve vagy megtagadva egy engedély, akkor a szülőtől örökli az engedélyt.
• Ha egy alcsomóponthoz explicit módon van beállítva engedély, a szülő engedélye nem öröklődik, függetlenül attól, hogy engedélyezett vagy megtagadott-e.

Sajátlagosság:

Az objektumhierarchiában a specificitás az öröklődést idézi elő. A legspecifikusabb engedély elsőbbséget élvez, ha ütköző engedélyek léteznek.

Példa:

• Explicit deny on "area-1" (szülőcsomópont).
• Explicit módon engedélyezze a "area-1/sub-area-1" (gyermekcsomópont) lehetőséget.
• Ebben az esetben a felhasználó kap egy Engedélyezést a "area-1/sub-area-1" területen, felülírva az örökölt megtagadást a szülőcsomóponttól.

Annak megértéséhez, hogy miért öröklődik egy engedély, szüneteltethet egy engedélybeállítást, majd kiválaszthatja a Miért lehetőséget? Biztonsági lap megnyitásához tekintse meg az engedélyek megtekintése című témakört.

Feljegyzés

A Projektengedélyek beállításai lap előnézeti oldalának engedélyezéséhez lásd : Előzetes verziójú funkciók engedélyezése.

Előnézeti oldal

Megnyílik egy új párbeszédpanel, amely megjeleníti az engedély öröklési adatait.

Aktuális oldal

Az új ablak az engedély öröklési adatait jeleníti meg.

Biztonsági csoportok és tagság

A biztonsági csoportok adott engedélyeket rendelnek a tagjaikhoz.

Egy szervezet, gyűjtemény vagy projekt létrehozásával az Azure DevOps létrehoz egy alapértelmezett biztonsági csoportokat, amelyek automatikusan alapértelmezett engedélyeket kapnak. További biztonsági csoportok a következő műveletekkel vannak definiálva:

• Amikor egyéni biztonsági csoportokat hoz létre a következő szinteken:
  • Projektszintű
  • Szervezeti vagy gyűjteményszintű
  • Kiszolgálószintű (csak helyszíni)
• Csapat hozzáadásakor létrejön egy csoportbiztonsági csoport

Objektumszintű biztonsági csoport nem hozható létre, de hozzárendelhet egy egyéni csoportot egy objektumszinthez, és engedélyeket rendelhet hozzá ehhez a szinthez. További információ: Objektumszintű engedélyek beállítása.

Alapértelmezett biztonsági csoportok

A legtöbb Azure DevOps-felhasználó hozzá lesz adva a Közreműködők biztonsági csoporthoz, és alapszintű hozzáférési szintet kap. A Közreműködők csoport olvasási és írási hozzáférést biztosít az adattárakhoz, a munkakövetéshez, a folyamatokhoz és egyebekhez. Az alapszintű hozzáférés hozzáférést biztosít az Azure Boards, az Azure Repos, az Azure Pipelines és az Azure Artifacts használatához szükséges összes funkcióhoz és feladathoz. Az Azure-tesztcsomagok kezeléséhez hozzáférést igénylő felhasználóknak alapszintű + tesztcsomagokat vagy speciális hozzáférést kell biztosítani.

Alapértelmezés szerint az alábbi biztonsági csoportok vannak definiálva minden projekthez és szervezethez. Általában felhasználókat vagy csoportokat ad hozzá az Olvasók, Közreműködők vagy Projektgazdák csoportokhoz.

Project	Szervezet vagy gyűjtemény
– Rendszergazdák létrehozása -Közreműködők - Projektgazdák - Projekt érvényes felhasználói -Olvasók - Kiadási rendszergazdák - TeamName csapat	– Projektcsoportgazdák – Projektgyűjtemények buildgazdák - Project Collection Build Service-fiókok - Projektgyűjtemény proxyszolgáltatás-fiókjai - Projektgyűjteményi szolgáltatásfiókok – Projektgyűjtési tesztszolgáltatás-fiókok - Projektgyűjtemény – Érvényes felhasználók - Projekt hatókörű felhasználók - Security Service Group

Az egyes csoportok leírását a biztonsági csoportok, a szolgáltatásfiókok és az engedélyek című témakörben talál. A leggyakoribb alapértelmezett biztonsági csoportokhoz végzett alapértelmezett engedély-hozzárendelésekről az Alapértelmezett engedélyek és hozzáférés című témakörben olvashat.

A projektszintű funkciók (például csapatok, terület- és iterációs útvonalak, adattárak, szolgáltatáshookok és szolgáltatásvégpontok) kezelésével foglalkozó felhasználók számára adja hozzá őket a Projektgazdák csoporthoz.

A szervezeti vagy gyűjteményszintű funkciók (például projektek, szabályzatok, folyamatok, adatmegőrzési szabályzatok, ügynök- és üzembehelyezési készletek és bővítmények) kezelésével megbízott felhasználók esetében vegye fel őket a Projektgyűjteménygazdák csoportba. További információ: About user, team, project, and organization-level settings.

Tagság, engedély és hozzáférési szint kezelése

Az Azure DevOps az alábbi három, egymáshoz kapcsolódó funkcionális területen keresztül szabályozza a hozzáférést:

• A Tagságkezelés egyes felhasználói fiókok és csoportok alapértelmezett biztonsági csoportokba való felvételét támogatja. Minden alapértelmezett csoporthoz az alapértelmezett engedélyek egy halmaza tartozik. A rendszer minden biztonsági csoporthoz hozzáadott felhasználót hozzáad az Érvényes felhasználók csoporthoz. Az érvényes felhasználók azok, akik projektekhez, gyűjteményekhez vagy szervezetekhez csatlakozhatnak.
• Az Engedélykezelés szabályozza az adott funkcionális tevékenységekhez való hozzáférést a rendszer különböző szintjein. Az objektumszintű engedélyek fájlra, mappára, buildelési folyamatra vagy megosztott lekérdezésre vonatkozó engedélyeket állíthatnak be. Az engedélybeállítások az Engedélyezés, a Megtagadás, az Örökölt engedélyezés, az Örökölt megtagadás, a Rendszer engedélyezése, a Rendszer megtagadása és a Nincs beállításnak felelnek meg.
• A hozzáférés-szint kezelése szabályozza a webportál funkcióihoz való hozzáférést. A felhasználók vásárlása alapján a rendszergazdák beállítják a felhasználó hozzáférési szintjét az Érintett, az Alapszintű, az Alapszintű + Teszt vagy a Visual Studio Enterprise (korábban Speciális) értékre.

Mindegyik funkcionális terület biztonsági csoportokkal teszi egyszerűbbé a kezelést a teljes üzemelő rendszeren. Felhasználók és csoportok a webes adminisztrációs környezetben vehetők fel. A rendszer automatikusan beállítja az engedélyeket azon biztonsági csoport alapján, amelybe felhasználókat ad hozzá. Vagy az engedélyek azon objektum, projekt, gyűjtemény vagy kiszolgáló szintjén alapulnak, amelyhez csoportokat ad hozzá.

A biztonsági csoportok tagsága állhat vegyesen felhasználókból, más csoportokból, és Microsoft Entra-csoportokból.

Active Directory és Microsoft Entra biztonsági csoportok

A biztonsági csoportokat egyéni felhasználók hozzáadásával is feltöltheti. A könnyű kezelés érdekében azonban hatékonyabban tölthetők fel ezek a csoportok az Azure DevOps Serviceshez és az Active Directoryhoz (AD) vagy az Azure DevOps Server windowsos felhasználói csoportjaihoz készült Microsoft Entra-azonosítóval. Ezzel a módszerrel hatékonyabban kezelheti a csoporttagságokat és az engedélyeket több számítógépen.

Ha csak kis számú felhasználót kell kezelnie, kihagyhatja ezt a lépést. Ha azonban a szervezet növekedésére számít, fontolja meg az Active Directory vagy a Microsoft Entra-azonosító beállítását. Emellett ha további szolgáltatásokat szeretne használni, elengedhetetlen a Microsoft Entra ID konfigurálása az Azure DevOpsszal való használatra a számlázás támogatásához.

Feljegyzés

A Microsoft Entra-azonosító nélkül minden Azure DevOps-felhasználónak Microsoft-fiókokkal kell bejelentkeznie, és a fiókhozzáférést egyéni felhasználói fiókoknak kell kezelnie. Még ha Microsoft-fiókokkal is kezeli a fiókhozzáférést, állítson be egy Azure-előfizetést a számlázás kezeléséhez.

Ha be szeretné állítani a Microsoft Entra ID-t az Azure DevOps Serviceshez való használatra, olvassa el a Szervezet csatlakoztatása a Microsoft Entra-azonosítóhoz című témakört.

Amikor szervezete csatlakozik a Microsoft Entra-azonosítóhoz, különböző szervezeti szabályzatokat határozhat meg és kezelhet a biztonság javítása és az alkalmazásokhoz való hozzáférés egyszerűsítése érdekében. További információ: Tudnivalók a biztonságról és a biztonsági szabályzatokról.

A szervezeti hozzáférés Microsoft Entra-azonosítóval történő kezeléséhez tekintse meg a következő cikkeket:

• Felhasználók hozzáadása vagy törlése a Microsoft Entra ID használatával
• Hozzáférés hibaelhárítása a Microsoft Entra-azonosítóval

Az Azure DevOps egy órán belül regisztrálja a Microsoft Entra-csoportban végrehajtott módosításokat a Microsoft Entra-azonosítóban történt módosítás után. A csoporttagságon keresztül örökölt engedélyek frissülnek. Ha frissíteni szeretné Microsoft Entra-tagságát és örökölt engedélyeit az Azure DevOpsban, jelentkezzen ki, majd jelentkezzen be újra, vagy aktiváljon egy frissítést az engedély újraértékeléséhez.

Érvényes felhasználói csoportok

Amikor közvetlenül egy biztonsági csoporthoz ad hozzá felhasználói fiókokat, a rendszer automatikusan hozzáadja őket az alábbi érvényes felhasználói csoportok egyikéhez.

• Projektgyűjtemény érvényes felhasználói: Minden tag hozzáadva egy szervezeti szintű csoporthoz.
• Projekt érvényes felhasználói: A projektszintű csoporthoz hozzáadott összes tag.

Az ezekhez a csoportokhoz rendelt alapértelmezett engedélyek elsősorban olvasási hozzáférést biztosítanak, például a buildelési erőforrások megtekintése, a projektszintű információk megtekintése és a gyűjteményszintű információk megtekintése.

Az egyik projekthez hozzáadott összes felhasználó megtekintheti a gyűjtemény más projektjeiben lévő objektumokat. A nézethozzáférés korlátozásához korlátozásokat állíthat be a terület elérési útjának csomópontja segítségével.

Ha eltávolítja vagy megtagadja az Érvényes felhasználók csoport egyik példányszintű információinak megtekintésére vonatkozó engedélyt, a csoport egyetlen tagja sem férhet hozzá a projekthez, gyűjteményhez vagy üzembe helyezéshez a beállított csoporttól függően.

Projekt hatókörű felhasználói csoport

A szervezethez hozzáadott felhasználók alapértelmezés szerint megtekinthetik az összes szervezeti és projektinformációt és -beállítást. Ezek a beállítások tartalmazzák a felhasználók listáját, a projektek listáját, a számlázási adatokat, a használati adatokat és egyebeket, amelyeket a szervezeti beállításokon keresztül érhet el.

Fontos

• Az ebben a szakaszban ismertetett korlátozott láthatósági funkciók csak a webes portálon keresztüli interakciókra vonatkoznak. A REST API-k vagy azure devops CLI-parancsok segítségével a projekttagok hozzáférhetnek a korlátozott adatokhoz.
• Azok a vendégfelhasználók, akik a Microsoft Entra-azonosítóban alapértelmezett hozzáféréssel rendelkező korlátozott csoport tagjai, nem kereshetnek felhasználókat a személyválasztóval. Ha az előzetes verziójú funkció ki van kapcsolva a szervezet számára, vagy ha a vendégfelhasználók nem tagjai a korlátozott csoportnak, a vendégfelhasználók a várt módon kereshetnek az összes Microsoft Entra-felhasználóban.

Bizonyos felhasználók, például az Érdekelt felek, a Microsoft Entra vendégfelhasználói vagy egy adott biztonsági csoport tagjai korlátozásához engedélyezheti a felhasználók láthatóságának és együttműködésének korlátozását a szervezet adott projektek előzetes verziójának funkciójára. Ha engedélyezve van, a Projekt hatókörű felhasználók csoporthoz hozzáadott felhasználók vagy csoportok az Áttekintés és a Projektek kivételével nem férhetnek hozzá a Szervezeti beállítások lapjaihoz. Emellett csak azokhoz a projektekhez férhetnek hozzá, amelyekhez hozzáadják őket.

Figyelmeztetés

Ha engedélyezi a felhasználók láthatóságának és együttműködésének korlátozása adott projektek előzetes verziójának funkcióját, azzal megakadályozza, hogy a projekt hatókörű felhasználók a Microsoft Entra-csoporttagságon keresztül keressék a szervezethez hozzáadott felhasználókat, és ne explicit felhasználói meghívón keresztül. Ez egy váratlan viselkedés, és a megoldás folyamatban van. A probléma megoldásához tiltsa le a felhasználók láthatóságának és együttműködésének korlátozását a szervezet adott projektek előzetes verziójának funkciójával.

További információ: Előzetes verziójú funkciók kezelése.

Feljegyzés

A biztonsági csoportokat a szervezet szintjén kezelik, még akkor is, ha adott projektekhez használják őket. A felhasználói engedélyektől függően előfordulhat, hogy egyes csoportok rejtve vannak a webes portálon. A szervezeten belüli összes csoportnév megtekintéséhez használhatja az Azure DevOps CLI-eszközt vagy a REST API-kat. További információ: Biztonsági csoportok hozzáadása és kezelése.

Szerepköralapú engedélyek

Szerepköralapú engedélyekkel felhasználói fiókokat vagy biztonsági csoportokat rendelhet hozzá egy szerepkörhöz, és mindegyik szerepkörhöz egy vagy több engedély van hozzárendelve. Itt találhatók az elsődleges szerepkörök és a további információkra mutató hivatkozások.

• Összetevő- vagy csomagcsatorna-biztonsági szerepkörök: A szerepkörök különböző jogosultsági szinteket támogatnak a csomagcsatornák szerkesztéséhez és kezeléséhez.
• Marketplace extension Manager szerepkör: A Manager-szerepkör tagjai bővítményeket telepíthetnek, és válaszolhatnak a bővítmények telepítésére vonatkozó kérelmekre.
• Folyamatbiztonsági szerepkörök: Számos szerepkört használnak a tárerőforrások, a projektszintű és a gyűjteményszintű folyamaterőforrások kezeléséhez.
• A csapatadminisztrátori szerepkör a csapat rendszergazdái az összes csapateszközt kezelhetik.

További információ: Tudnivalók a biztonsági szerepkörökről.

Az alábbi kép bemutatja, hogy a projekt- és gyűjteményszinten definiált biztonsági csoportok hogyan rendelhetnek engedélyeket objektumokhoz, projektekhez és a szervezethez.

A Projektgazdák vagy a Projektcsoportgazdák csoport tagjai az összes csapat összes csapateszközét kezelhetik.

Előzetes verziós funkciók

A funkciójelzők az új funkciókhoz való hozzáférést szabályozzák. Az Azure DevOps rendszeresen új funkciókat vezet be egy funkciójelző mögött. A projekttagok és a szervezet tulajdonosai engedélyezhetik vagy letilthatják az előzetes verziójú funkciókat. További információ: Szolgáltatások kezelése vagy engedélyezése.

Következő lépések

Alapértelmezett engedélyek és hozzáférés

Kapcsolódó cikkek

• Hozzáféréssel és engedélyekkel kapcsolatos problémák elhárítása
• Tudnivalók a biztonságról, a hitelesítésről és az engedélyezésről
• Referenciaengedélyek és csoportok
• Biztonsági csoportok hozzáadása és kezelése