Az Azure DevOps Services hitelesítő adatainak tárolása

  • Cikk

Azure DevOps Services

Fontos

Az Azure DevOps 2020. március 2-a óta nem támogatja az alternatív hitelesítő adatok hitelesítését. Ha továbbra is alternatív hitelesítő adatokat használ, határozottan javasoljuk, hogy váltson biztonságosabb hitelesítési módszerre (például személyes hozzáférési jogkivonatokra). További információk.

Hitelesítő adatok biztonsága

A Microsoft elkötelezett amellett, hogy a projektek kivétel nélkül biztonságosak és biztonságosak maradjanak. Az Azure DevOpsban a projektek a biztonsági és irányítási technológiák, az üzemeltetési eljárások és a megfelelőségi szabályzatok több rétegét is kihasználják. Az adatvédelmet és az integritást mind az inaktív, mind az átvitel során érvényesítjük. Emellett betartjuk a következő eljárásokat az Azure DevOps által tárolt hitelesítő adatokkal vagy titkos kódokkal kapcsolatban. A megfelelő hitelesítési mechanizmus kiválasztásával kapcsolatos további információkért lásd: Útmutató a hitelesítéshez.

Személyes hozzáférési jogkivonatok (PAT-k)

  • A PAT kivonatát tároljuk
  • A nyers PAT a kiszolgálóoldalon a memóriában jön létre 32 bájt véletlenszerűen generálva az RNGCryptoServiceProvider használatával, majd megosztva a hívóval egy base-32 kódolású sztringként. Ez az érték NINCS tárolva
  • A PAT-kivonat a kiszolgálóoldalon a memóriában jön létre a nyers PAT HMACSHA256Hashjaként a kulcstartóban tárolt 64 bájtos szimmetrikus aláíró kulcs használatával
  • A kivonat tárolása az adatbázisunkban történik

Biztonságos felületi (SSH-) kulcsok

  • A csatoló szervezeti azonosító és az SSH nyilvános kulcs kivonatát tároljuk
  • A nyers nyilvános kulcsot közvetlenül a hívó biztosítja SSL-en keresztül
  • Az SSH-kivonat a kiszolgálóoldalon a szervezet azonosítójának HMACSHA256Hashjaként és nyers nyilvános kulcsként jön létre a memóriában a kulcstartóban tárolt 64 bájtos szimmetrikus aláíró kulcs használatával
  • A kivonat tárolása az adatbázisunkban történik

OAuth-hitelesítő adatok (JWT-k)

  • Ezek teljes mértékben önleíró JSON-webtokenként (JWT-ként) vannak kiadva, és NEM a szolgáltatásban vannak tárolva
  • A szolgáltatásunknak kibocsátott és bemutatott JWT-jogcímek érvényesítése a kulcstartóban tárolt tanúsítvánnyal történik