Azure Pipelines でセキュリティを管理する

Azure DevOps Services | Azure DevOps Server 2022 - Azure DevOps Server 2019

Azure Pipelines セキュリティは、セキュリティ グループとユーザーの階層を通じて、パイプラインとそのリソースへのアクセスを制御します。 このシステムは、リリース パイプライン、タスク グループ、エージェント プール、サービス接続などのリソースを管理しますが、パイプラインの外部にあります。 パイプラインとリソースの作成時に、定義済みのセキュリティ グループとユーザーからプロジェクト レベルのアクセス許可を継承し、すべてのプロジェクト パイプラインに影響を与えます。

通常、管理者は無制限のアクセス権を持ち、共同作成者はリソースを監視し、閲覧者は表示専用のアクセス許可を持ち、ユーザー ロールはグループの割り当てを決定します。 詳細については、「パイプラインのセキュリティ ロールについて」を参照してください。

前提条件

セキュリティ領域	前提条件
パイプラインのセキュリティ	- プロジェクト コレクション グループを管理するには、 Project コレクション管理者 グループのメンバーである必要があります。 - プロジェクト レベルのユーザーとグループを管理するには、管理者グループのメンバーであるか、管理者のビルドアクセス許可 許可されている必要があります。
エージェント プールのセキュリティ	- 組織、コレクション、またはプロジェクト レベルでエージェント プールのセキュリティを管理するには、 Project コレクション管理者 グループのメンバーであるか、エージェント プールの Administrator ロールを持っている必要があります。 - オブジェクト レベルでエージェント プールのセキュリティを管理するには、エージェント プールの Administrator ロールが必要です。
デプロイ グループのセキュリティ	- プロジェクト レベルの展開グループのセキュリティを管理するには、管理者グループのメンバーであるか、管理者ロールが割り当てられている必要があります。 - 個々の展開グループのセキュリティを管理するには、管理者ロールが割り当てられている必要があります。
環境のセキュリティ	- プロジェクト レベルの環境セキュリティを管理するには、管理者グループのメンバーであるか、管理者ロールが割り当てられている必要があります。 - 個々の環境のオブジェクト レベルのセキュリティを管理するには、管理者ロールが割り当てられている必要があります。
ライブラリのセキュリティ	- ライブラリのセキュリティを管理するには、管理者グループのメンバーであるか、管理者ロールが割り当てられている必要があります。 - 個々のライブラリ 資産のセキュリティを管理するには、管理者であるか、適切なロールを持っている必要があります。
リリース パイプラインのセキュリティ	- リリース パイプラインのセキュリティを管理するには、管理者グループのメンバーであるか、管理者のリリースアクセス許可 許可されている必要があります。 - リリース パイプラインを作成する必要があります。
サービス接続のセキュリティ	- サービス接続のセキュリティを管理するには、 Project Administrators グループのメンバーであるか、管理者ロールを持っている必要があります。 - プロジェクト レベルでセキュリティを管理するには、 Project Administrators グループのメンバーであるか、サービス接続の Administrator ロールを持っている必要があります。 - オブジェクト レベルでセキュリティを管理するには、サービス接続の Administrator ロールが必要です。
タスク グループのセキュリティ	タスク グループのセキュリティを管理するには、管理者グループのメンバーであるか、管理者タスク グループのアクセス許可 許可されている必要があります。 - タスク グループが存在する必要があります。

Azure Pipelines でパイプラインのアクセス許可を設定する

パイプライン セキュリティは、ユーザーとグループのアクセス許可の階層モデルに従います。 プロジェクトレベルのアクセス許可は、プロジェクト内のすべてのパイプラインによってオブジェクト レベルで継承されます。 プロジェクトレベルとオブジェクトレベルで、すべてのパイプラインに対して継承された既定のユーザーとグループのアクセス許可を変更できます。 システムによって設定されたアクセス許可を変更することはできません。

次の表に、パイプラインの既定のセキュリティ グループを示します。

グループ	説明
ビルド管理者	ビルドのアクセス許可を管理し、パイプラインとビルドを管理します。
共同作成者	パイプラインとビルドを管理しますが、ビルド キューは管理しません。 このグループには、すべてのチーム メンバーが含まれます。
プロジェクト管理者	ビルドのアクセス許可を管理し、パイプラインとビルドを管理します。
Readers	パイプラインとビルドを表示します。
プロジェクト コレクション管理者	ビルドのアクセス許可を管理し、パイプラインとビルドを管理します。
プロジェクト コレクション ビルド管理者	ビルドのアクセス許可を管理し、パイプラインとビルドを管理します。
プロジェクト コレクション ビルド サービス	ビルドを管理します。
プロジェクト コレクション テスト サービス アカウント	パイプラインとビルドを表示します。

システムにより、<プロジェクト名> ビルド サービス (コレクション名) ユーザー (プロジェクト コレクション ビルド サービス アカウント グループのメンバー) が自動的に作成されます。 このユーザーは、プロジェクト内でビルド サービスを実行します。

パイプラインで使用するリソースによっては、パイプラインに他の組み込みユーザーが含まれる場合があります。 たとえば、ソース コードで GitHub リポジトリを使用している場合は、GitHub ユーザーが含まれます。

次の表は、セキュリティ グループの既定のアクセス許可を示しています。

タスク	Readers	共同作成者	ビルド管理者	プロジェクト管理者
ビルドの表示	✔️	✔️	✔️	✔️
ビルド パイプラインを表示する	✔️	✔️	✔️	✔️
ビルド管理のアクセス許可			✔️	✔️
ビルド パイプラインを削除または編集する		✔️	✔️	✔️
ビルドを削除または破棄する			✔️	✔️
ビルドの品質を編集します		✔️	✔️	✔️
ビルド品質評価の管理			✔️	✔️
ビルド キューの管理			✔️	✔️
ビルドによるチェックインの妥当性確認のオーバーライド				✔️
ビルドをキューに挿入		✔️	✔️	✔️
無期限に保持	✔️	✔️	✔️	✔️
ビルドの停止			✔️	✔️
ビルド情報の更新				✔️

パイプラインのアクセス許可の説明については、「パイプラインまたはビルドのアクセス許可」を参照してください。

プロジェクトレベルのパイプラインのアクセス許可を設定する

プロジェクト内のすべてのビルド パイプラインでユーザーとグループのプロジェクト レベルのアクセス許可を管理するには、次の手順を実行します。

1. プロジェクトから、[パイプライン] を選択します。

   

2. [その他のアクション] を選択し、管理セキュリティを選択します。

3. ユーザーまたはグループを選択し、アクセス許可を [許可]、[拒否]、または [未設定] に設定します。

   

4. 他のグループとユーザーのアクセス許可を変更するには、前の手順を繰り返します。

5. アクセス許可のダイアログを閉じて、変更を保存します。

アクセス許可ダイアログにユーザーまたはグループを追加する

アクセス許可ダイアログに表示されないユーザーとグループを追加するには、次の手順を実行します。

1. 検索バーにユーザーまたはグループを入力し、検索結果から対象のユーザーまたはグループを選択します。
2. アクセス許可を設定します。
3. ダイアログを閉じます。

セキュリティ ダイアログをもう一度開くと、対象のユーザーまたはグループが表示されます。

アクセス許可ダイアログからユーザーまたはグループを削除する

アクセス許可の一覧からユーザーを削除するには、次の手順を実行します。

1. ユーザーまたはグループを選択します。

2. [明示的なアクセス許可の削除とクリア] を選択します。

   

3. 完了したら、ダイアログを閉じて変更を保存します。

オブジェクトレベルのパイプラインのアクセス許可を設定する

既定では、個々のパイプラインのオブジェクト レベルのアクセス許可は、プロジェクト レベルのアクセス許可から継承されます。 継承されたプロジェクトレベルのアクセス許可はオーバーライドできます。

アクセス許可を Allow、 Deny に設定するか、アクセス許可が継承されていない場合は Not set に設定できます。 継承が有効になっている場合は、明示的に設定されたアクセス許可を、継承された値に戻すことができます。

パイプラインのアクセス許可を管理するには、次の手順を実行します。

1. プロジェクトから、[パイプライン] を選択します。

   

2. パイプラインを選択し、 [その他のアクション] を選択し、 管理セキュリティを選択します。

   

3. ユーザーまたはグループを選択して、アクセス許可を設定します。

   

4. 他のグループとユーザーのアクセス許可を変更するには、前の手順を繰り返します。

5. 完了したら、ダイアログを閉じて変更を保存します。

アクセス許可ダイアログにユーザーまたはグループを追加する

アクセス許可ダイアログに表示されないユーザーとグループを追加するには、次の手順を実行します。

1. 検索バーにユーザーまたはグループを入力し、検索結果から対象のユーザーまたはグループを選択します。
2. アクセス許可を設定します。
3. ダイアログを閉じます。

セキュリティ ダイアログをもう一度開くと、対象のユーザーまたはグループが表示されます。

アクセス許可ダイアログからユーザーまたはグループを削除する

継承が無効になっていない限り、継承されたユーザーとグループを削除することはできません。 パイプラインのアクセス許可からユーザーまたはグループを削除するには、次の手順を実行します。

1. ユーザーまたはグループを選択します。

2. [明示的なアクセス許可の削除とクリア] を選択します。

   

3. 完了したら、ダイアログを閉じて変更を保存します。

Azure Pipelines でデプロイ グループのセキュリティを設定する

デプロイ グループは、エージェントがインストールされている物理または仮想のターゲット マシンのプールです。 デプロイ グループは、クラシック リリース パイプラインでのみ使用できます。 デプロイ グループは、次の状況で作成できます。

• 組織のデプロイ プールから、依存デプロイ グループをプロビジョニングする場合
• プロジェクト レベルでデプロイ グループを作成する場合
• プロジェクトでデプロイ グループを共有して、依存デプロイ グループが受信者プロジェクトに作成される場合

個々のデプロイ グループは、プロジェクトレベルの割り当てからセキュリティ ロールを継承します。 ユーザーまたはグループに対するプロジェクトレベルの割り当てをオーバーライドできます。 継承されたユーザーまたはグループを削除したり、継承されたロールの特権レベルを下げたりするには、継承を できない必要があります。

配置グループが別のプロジェクトと共有されると、そのセキュリティ ロールを継承する別の配置グループが他のプロジェクトに作成されます。 共有が無効になっている場合、デプロイ グループは他のプロジェクトから削除されます。

次の表は、展開グループのセキュリティ ロールを示しています。

ロール	説明
Reader	デプロイ グループのみを表示できます。
Creator	デプロイ グループを作成できます。 このロールは、プロジェクトレベルのロールのみです。
User	デプロイ グループを表示および使用できます。
サービス アカウント	エージェントの表示、セッションの作成、ジョブのリッスンができます。 このロールは、コレクションレベルまたは組織レベルのロールのみです。
Administrator	デプロイ グループを管理、表示、使用できます。

次の表は、既定のユーザーロールとグループロールの割り当てを示しています。

グループ	ロール
[プロジェクト名]\共同作成者	作成者 (プロジェクトレベル)、閲覧者 (オブジェクトレベル)
[プロジェクト名]\デプロイ グループ管理者	管理者
[プロジェクト名]\プロジェクト管理者	管理者
[プロジェクト名]\リリース管理者	管理者

プロジェクトレベルのデプロイ グループのセキュリティ ロールを設定する

すべての展開グループに対してプロジェクト レベルのセキュリティ ロールを設定するには、次の手順を実行します。

1. プロジェクトから、[パイプライン] で [デプロイ グループ] を選択します。

2. [セキュリティ] を選択します。

   

3. ユーザーとグループにロールを設定します。

   

4. ユーザーまたはグループを削除するには、ユーザーまたはグループを選択し、 Delete を選択します。

5. [変更の保存] を選択して変更を保存するか変更を設定 保存されていない変更を元に戻します。

次の手順を実行して、セキュリティ ダイアログに表示されないプロジェクト ユーザーまたはグループを追加します。

1. [追加] を選択します。
2. 検索バーにユーザーまたはグループを入力し、検索結果から対象のユーザーまたはグループを選択します。 複数のユーザーとグループを追加できます。
3. [ロール] を選択します。
4. [追加] を選択して変更内容を保存します。

オブジェクトレベルのデプロイ グループのセキュリティ ロールを設定する

個々の展開グループのセキュリティ ロールを設定するには、次の手順を実行します。

1. プロジェクトから、[パイプライン] で [デプロイ グループ] を選択します。

2. [グループ] でデプロイ グループを選択します。

3. [セキュリティ] を選択します。

   

4. ユーザーとグループにロールを設定します。 継承されたロールの特権レベルを下げるには、継承を無効にします。

   

5. ユーザーまたはグループを削除するには、ユーザーまたはグループを選択し、 Delete を選択します。 継承が無効になっていない限り、継承されたユーザーとグループを削除することはできません。

6. [変更の保存] を選択して変更を保存するか変更を設定 保存されていない変更を元に戻します。

ロールを明示的に設定すると、そのユーザーまたはグループの継承が無効になります。 すべてのユーザーとグループの継承を無効にするには、[継承] 設定をオフにします。 継承を再度有効にすると、すべてのユーザーとグループのロールがそれぞれのプロジェクトレベルの割り当てに戻ります。

次の手順を実行して、セキュリティ ダイアログに表示されないプロジェクト ユーザーまたはグループを追加します。

1. [追加] を選択します。
2. 検索バーにユーザーまたはグループを入力し、検索結果から対象のユーザーまたはグループを選択します。 複数のユーザーとグループを追加できます。
3. [ロール] を選択します。
4. [追加] を選択して変更内容を保存します。

Azure Pipelines の環境のセキュリティを設定する

環境は YAML パイプラインのデプロイ ターゲットをバンドルしますが、クラシック パイプラインと互換性がありません。 プロジェクト レベルで既定のユーザーとグループに割り当てられたセキュリティ ロールは、すべての環境に継承されます。 これらのセキュリティ設定は、プロジェクトレベルと個々の環境レベルの両方で調整できます。

次の表に、環境のセキュリティ ロールを示します。

ロール	説明
Creator	プロジェクト内に環境を作成できます。 プロジェクトレベルのセキュリティにのみ適用されます。 共同作成者には、このロールが自動的に割り当てられます。
Reader	環境を表示できます。
User	YAML パイプラインの作成時または編集時に環境を使用できます。
Administrator	アクセス許可の管理、環境の作成、管理、表示、使用ができます。 環境の作成者には、その環境の管理者ロールが付与されます。 管理者は、プロジェクト内のすべてのパイプラインに対して環境へのアクセスを開くこともできます。

次の表は、既定のユーザーロールとグループロールの割り当てを示しています。

グループ	ロール
[プロジェクト名]\共同作成者	作成者 (プロジェクトレベル) 閲覧者 (オブジェクトレベル)
[プロジェクト名]\プロジェクト管理者	Creator
[プロジェクト名]\プロジェクトの有効なユーザー	Reader

環境を作成する個人には、その特定の環境の Administrator ロールが自動的に付与されます。 このロールの割り当ては永続的であり、変更することはできません。

プロジェクトレベルの環境のセキュリティ ロールを設定する

すべての環境に対してプロジェクト レベルのセキュリティ ロールを設定するには、次の手順を実行します。

1. プロジェクトの [パイプライン] で [環境] を選択します。

2. [その他のアクション] を選択し、Security を選択します。

   

3. ユーザーとグループのロールを [管理者]、[作成者]、[ユーザー]、または [閲覧者] に設定します。

   

4. ユーザーまたはグループを削除するには、ユーザーまたはグループを選択し、 Delete を選択します。

5. [保存] を選択して変更を保存するか、[元に戻す] を選択し、保存されていない変更を元に戻します。

セキュリティ ダイアログに表示されないプロジェクト ユーザーまたはグループを追加するには、次の手順を実行します。

1. [追加] を選択します。
2. 検索バーにユーザーまたはグループを入力し、検索結果から対象のユーザーまたはグループを選択します。 複数のユーザーとグループを追加できます。
3. [ロール] を選択します。
4. [追加] を選択して変更内容を保存します。

オブジェクト レベルの環境セキュリティを設定する

既定では、オブジェクト レベルのセキュリティ ロールはプロジェクト レベルの設定から継承されます。 ただし、継承を無効にすることで、継承されたユーザーまたはグループの削除や特権レベルの調整など、個々の環境に合わせてこれらの設定をカスタマイズできます。 さらに、各環境のパイプライン アクセスを管理するオプションがあります。

オブジェクトレベルの環境のユーザーとグループのセキュリティ ロールを設定する

環境のユーザーとグループのセキュリティ ロールを設定するには、次の手順を実行します。

1. プロジェクトの [パイプライン] で [環境] を選択します。

2. 環境を選択します。

3. [その他のアクション] を選択し、Security を選択します。

   

4. ユーザーとグループのロールを [管理者]、[ユーザー]、または [閲覧者] に設定します。

   

5. ユーザーまたはグループを削除するには、ユーザーまたはグループを選択し、 Delete を選択します。 継承が無効になっていない限り、継承されたユーザーとグループを削除することはできません。

6. [保存] を選択して変更を保存するか、[元に戻す] を選択し、保存されていない変更を元に戻します。

ユーザーまたはグループに対してロールを明示的に設定すると、その継承が無効になります。 すべてのユーザーの継承を停止するには、 Inheritance オプションを非アクティブ化します。 継承を再アクティブ化すると、すべてのユーザーとグループが元のプロジェクト レベルのロールの割り当てにリセットされます。

セキュリティ ダイアログに表示されないプロジェクト ユーザーまたはグループを追加するには、次の手順を実行します。

1. [追加] を選択します。
2. 検索バーにユーザーまたはグループを入力し、検索結果から対象のユーザーまたはグループを選択します。 複数のユーザーとグループを追加できます。
3. [ロール] を選択します。
4. [追加] を選択して変更内容を保存します。

環境にパイプライン アクセスを設定する

パイプラインのアクセス許可を [アクセスを開く] に設定すると、プロジェクト内のすべてのパイプラインへのアクセス、または特定のパイプラインへの制限付きアクセスを許可できます。 パイプラインのアクセス許可を [アクセスを開く] に設定できるのは、プロジェクト管理者のみです。

プロジェクト内のすべてのパイプラインへのオープン アクセスを設定するには、次の手順を実行します。

1. [その他のアクション]を選択し 開くアクセスを選択します。

   

2. 確認ダイアログで [アクセスを開く] を選択します。

アクセスを制限し、パイプライン アクセスを管理するには、次の手順を実行します。

1. [アクセスの制限] を選択します。

2. パイプラインの追加 を選択し、ドロップダウン メニューからパイプラインを選択します。

3. パイプラインを削除するには、パイプラインを選択し、[アクセスの取り消し] アイコンを選択します。

   

Azure Pipelines でライブラリのセキュリティを設定する

このライブラリを使用すると、ビルド パイプラインとリリース パイプライン全体で、変数グループやセキュリティで保護されたファイルなどの資産の共有が容易になります。 統合セキュリティ モデルを採用し、資産の管理、作成、および使用に対するロールの割り当てを許可します。 これらのロールは、ライブラリ レベルで設定されると、含まれるすべての資産に自動的に適用されますが、個別に調整できます。

ロール	説明
Administrator	ライブラリ資産のセキュリティの編集/削除および管理ができます。 資産の作成者には、資産に対してこのロールが自動的に付与されます。
Creator	ライブラリ資産を作成できます。
Reader	ライブラリ資産のみを読み取ることができます。
User	パイプラインでライブラリ資産を使用できます。

次の表に、既定のロールを示します。

グループ	ロール
[プロジェクト名]\プロジェクト管理者	管理者
[プロジェクト名]\ビルド管理者	管理者
[プロジェクト名]\プロジェクトの有効なユーザー	Reader
[プロジェクト名]\共同作成者	作成者 (プロジェクトレベル) 閲覧者 (オブジェクトレベル)
[プロジェクト名]\リリース管理者	管理者
プロジェクト名ビルド サービス (コレクション名または組織名)	Reader

個々のライブラリ資産の場合、作成者には管理者ロールが自動的に割り当てられます。

プロジェクトレベルのライブラリのセキュリティ ロールを設定する

可変グループ、安全なファイルなど、すべてのライブラリ 資産アクセスを管理するには次の手順を実行します。

1. プロジェクトから、[パイプライン]>[ライブラリ] を選びます。

   

2. [セキュリティ] を選択します。

   

3. ユーザーまたはグループを選択し、ロールを [閲覧者]、[ユーザー]、[作成者]、または [管理者] に変更します。

   

4. ユーザーまたはグループを削除するには、ユーザーまたはグループを選択し、 Delete を選択します。

5. [変更の保存] を選択して変更を保存するか変更を設定 保存されていない変更を元に戻します。

セキュリティ ダイアログに表示されないプロジェクト ユーザーまたはグループを追加するには、次の手順を実行します。

1. [追加] を選択します。
2. 検索バーにユーザーまたはグループを入力し、検索結果から対象のユーザーまたはグループを選択します。 複数のユーザーとグループを追加できます。
3. [ロール] を選択します。
4. [追加] を選択して変更内容を保存します。

セキュア ファイルのセキュリティ ロールを設定する

セキュア ファイルのセキュリティ ロールは、既定でプロジェクトレベルのライブラリ ロールの割り当てから継承されます。 個々のファイルに対してこれらの割り当てをオーバーライドできます。 継承されたユーザーまたはグループを削除する、または継承されたロールの特権レベルを下げるには、継承を無効にする必要があります。

セキュア ファイルの作成者には、そのファイルの管理者ロールが自動的に割り当てられます。これは変更できません。

セキュリティで保護されたファイルのアクセス許可を設定するには、次の手順を実行します。

1. プロジェクトから、[パイプライン]>[ライブラリ] を選びます。
2. [セキュア ファイル] を選択します。
3. ファイルを選択します。
4. [セキュリティ] を選択します。
5. ユーザーとグループに必要なロールを設定します。
6. ユーザーまたはグループを削除するには、ユーザーまたはグループを選択し、 Delete を選択します。 継承が無効になっていない限り、継承されたユーザーとグループを削除することはできません。
7. [変更の保存] を選択して変更を保存するか変更を設定 保存されていない変更を元に戻します。

ロールを明示的に設定すると、そのユーザーまたはグループの継承が無効になります。 すべてのユーザーとグループの継承を無効にするには、[継承] 設定をオフにします。 継承を再度有効にすると、すべてのユーザーとグループのロールがそれぞれのプロジェクトレベルの割り当てに戻ります。

セキュリティ ダイアログに表示されないプロジェクト ユーザーまたはグループを追加するには、次の手順を実行します。

1. [追加] を選択します。
2. 検索バーにユーザーまたはグループを入力し、検索結果から対象のユーザーまたはグループを選択します。 複数のユーザーとグループを追加できます。
3. [ロール] を選択します。
4. [追加] を選択して変更内容を保存します。

変数グループのセキュリティ ロールを設定する

変数グループのセキュリティ ロールは、既定でプロジェクトレベルのライブラリ ロールの割り当てから継承されます。 個々の変数グループに対してこれらの割り当てをオーバーライドできます。 継承されたユーザーまたはグループを削除する、または継承されたロールの特権レベルを下げるには、継承を無効にする必要があります。

変数グループの作成者には、そのグループの管理者ロールが自動的に割り当てられます。これは変更できません。

変数グループのアクセスを設定するには、次の手順を実行します。

1. プロジェクトから、[パイプライン]>[ライブラリ] を選びます。
2. 変数グループを選択します。
3. [セキュリティ] を選択します。
4. ユーザーとグループに必要なロールを設定します。
5. ユーザーまたはグループを削除するには、ユーザーまたはグループを選択し、 Delete を選択します。 継承が無効になっていない限り、継承されたユーザーとグループを削除することはできません。
6. [変更の保存] を選択して変更を保存するか変更を設定 保存されていない変更を元に戻します。

ロールを明示的に設定すると、そのユーザーまたはグループの継承が無効になります。 すべてのユーザーとグループの継承を無効にするには、[継承] 設定をオフにします。 継承を再度有効にすると、すべてのユーザーとグループのロールがそれぞれのプロジェクトレベルの割り当てに戻ります。

セキュリティ ダイアログに表示されないプロジェクト ユーザーまたはグループを追加するには、次の手順を実行します。

1. [追加] を選択します。
2. 検索バーにユーザーまたはグループを入力し、検索結果から対象のユーザーまたはグループを選択します。 複数のユーザーとグループを追加できます。
3. [ロール] を選択します。
4. [追加] を選択して変更内容を保存します。

Azure Pipelines でリリース パイプラインのアクセス許可を設定する

リリース パイプラインを作成したら、すべてのリリース パイプラインに対してプロジェクトレベルのアクセス許可を、個々のリリース パイプラインとステージに対してオブジェクトレベルのアクセス許可を設定できます。 オブジェクトレベルのリリース パイプラインのアクセス許可から継承されたアクセス許可のサブセットであるリリース ステージに対しても、アクセス許可を設定できます。

次の表は、リリース パイプラインのアクセス許可階層を示しています。

• プロジェクト レベルのリリース パイプラインのアクセス許可
• オブジェクト レベルのリリース パイプラインのアクセス許可
• オブジェクト レベルのステージのアクセス許可

次の表に、既定のユーザー ロールとグループ ロールを示します。

グループ	ロール
寄稿者	リリースのアクセス許可の管理を除く、すべてのアクセス許可。
プロジェクト管理者	すべてのアクセス許可。
Readers	パイプラインとリリースを表示できます。
リリース管理者	すべてのアクセス許可。
プロジェクト コレクション管理者	すべてのアクセス許可。
<プロジェクト名> ビルド サービス(<組織名またはコレクション名>)	パイプラインとリリースを表示できます。
プロジェクト コレクション ビルド サーバー (<組織名またはコレクション名>)	パイプラインとリリースを表示できます。

アクセス許可の説明については、「アクセス許可とグループ」を参照してください。

プロジェクトレベルのパイプラインのアクセス許可を設定する

すべてのリリースのアクセス許可を更新するには、次の手順を実行します。

1.プロジェクトから、 Pipelines>Releases を選択します。

2. ファイル ビュー アイコンを選択します。

   

3. [すべてのパイプライン] フォルダーを選びます。

   

4. [その他のアクション] を選択し、Security を選択します。

   

5. ユーザーとグループを選択して、それぞれのアクセス許可を変更します。

   

6. 完了したら、ダイアログを閉じて変更を保存します。

アクセス許可ダイアログにユーザーまたはグループを追加する

アクセス許可ダイアログに表示されないユーザーとグループを追加するには、次の手順を実行します。

1. 検索バーにユーザーまたはグループを入力し、検索結果から対象のユーザーまたはグループを選択します。
2. アクセス許可を設定します。
3. ダイアログを閉じます。

セキュリティ ダイアログをもう一度開くと、対象のユーザーまたはグループが表示されます。

アクセス許可ダイアログからユーザーまたはグループを削除する

アクセス許可の一覧からユーザーを削除するには、次の手順を実行します。

1. プロジェクトのアクセス許可ページで、ユーザーまたはグループを選択します。

2. [明示的なアクセス許可の削除とクリア] を選択します。

   

3. 完了したら、ダイアログを閉じて変更を保存します。

オブジェクトレベルのリリース パイプラインのアクセス許可を設定する

既定では、個々のリリース パイプラインに対するオブジェクトレベルのアクセス許可は、プロジェクトレベルのリリース パイプラインのアクセス許可から継承されます。 これらの継承されたアクセス許可は、特定のリリース パイプラインに対してオーバーライドできます。

リリースのアクセス許可をオーバーライドするには、次の手順を実行します。

1. プロジェクトから Pipelines>Releases を選択します。

2. ファイル ビュー アイコン を選択します。

3. 変更するリリース パイプラインを選択し、 [その他のアクション] >Security を選択します。

   

4. ユーザーまたはグループを選び、それぞれのアクセス許可を [許可]、[拒否]、または [未設定] に設定します。

   

5. 完了したら、ダイアログを閉じて変更を保存します。

継承されたユーザーまたはグループのアクセス許可を明示的に設定すると、その特定のアクセス許可の継承は無効になります。 継承を復元するには、アクセス許可を [未設定] に設定します。 すべてのユーザーとグループのアクセス許可の継承を無効にするには、[継承] 設定をオフにします。 継承をもう一度有効にすると、すべてのユーザーとグループのアクセス許可がプロジェクトレベルの設定に戻ります。

アクセス許可ダイアログにユーザーまたはグループを追加する

アクセス許可ダイアログに表示されないユーザーとグループを追加するには、次の手順を実行します。

1. 検索バーにユーザーまたはグループを入力し、検索結果から対象のユーザーまたはグループを選択します。
2. アクセス許可を設定します。
3. ダイアログを閉じます。

セキュリティ ダイアログをもう一度開くと、対象のユーザーまたはグループが表示されます。

アクセス許可ダイアログからユーザーまたはグループを削除する

ユーザーとグループは、リリース パイプラインから削除できます。 継承が無効になっていない限り、継承されたユーザーとグループを削除することはできません。 ユーザーまたはグループのリリース パイプラインのアクセス許可を削除するには、次の手順を実行します。

1. ユーザーまたはグループを選択します。

2. [明示的なアクセス許可の削除とクリア] を選択します。

   

3. 完了したら、ダイアログを閉じて変更を保存します。

リリース ステージのアクセス許可を設定する

ステージのアクセス許可は、オブジェクトレベルのリリース パイプラインのアクセス許可から継承されるアクセス許可のサブセットです。

ステージのアクセス許可を設定するには、次の手順を実行します。

1. プロジェクトから Pipelines>Releases を選択します。

2. ファイル ビュー アイコン を選択し、[すべてのパイプライン] を選びます。

3. 変更するリリース パイプラインを [すべてのパイプライン] から選びます

   

4. 変更するステージを選択します。

5. [その他のオプション] アイコン選択し Security を選択します。

   

6. アクセス許可ダイアログに表示されていないユーザーまたはグループを追加するには、[追加] を選択し、対象のユーザーまたはグループを入力して [変更の保存] を選びます。

7. ユーザーとグループを選び、それぞれのアクセス許可を [許可]、[拒否]、または [未設定] に設定します。

   

8. [変更を保存] を選択するか、変更を元に戻すのであれば [変更を元に戻す] を選びます。 別のユーザーまたはグループを選択する前に、変更を保存してアクセス許可を適用する必要があります。

9. その他のユーザーとグループを選択すると、それぞれのアクセス許可も変更できます。

10. ユーザーまたはグループを削除するには、ユーザーまたはグループを選び、[削除] を選択します。 継承が無効になっていない限り、継承されたユーザーとグループを削除することはできません。

11. 完了したら、 [OK] をクリックします。

継承されたユーザーまたはグループのアクセス許可を明示的に設定すると、その特定のアクセス許可の継承は無効になります。 継承を復元するには、アクセス許可を [未設定] に設定します。 明示的に設定されたすべてのアクセス許可を、それぞれの継承された設定にリセットするには、[明示的なアクセス許可のクリア] を選択します。 すべてのユーザーとグループのアクセス許可の継承を無効にするには、[継承] 設定をオフにします。 継承をもう一度有効にすると、すべてのユーザーとグループのアクセス許可がプロジェクトレベルの設定に戻ります。

Azure Pipelines でサービス接続のセキュリティを設定する

サービス接続は、外部サービスとリモート サービスに接続するために使用されます。 次に対してサービス接続のセキュリティを設定できます。

• プロジェクト: アクセス許可はオブジェクト レベルで設定されます。
• パイプライン: アクセス許可はオブジェクト レベルで設定されます。
• ユーザーとグループ: セキュリティ ロールは、プロジェクト レベルとオブジェクト レベルで設定されます。

次の表に、サービス接続ロールを示します。

ロール	目的
Reader	サービス接続を表示できます。
User	クラシックおよび YAML のビルド パイプラインとリリース パイプラインでサービス接続を使用できます。
Creator	プロジェクトにサービス接続を作成できます。 このロールは、プロジェクトレベルのロールのみです。
Administrator	サービス接続を使用し、他のユーザーとグループのロールを管理できます。

次の表に、サービス接続の既定のセキュリティ ロールを示します。

グループ	ロール
[プロジェクト名]\エンドポイント管理者	管理者
[プロジェクト名]\エンドポイント作成者	Creator

サービス接続を作成するユーザーは、そのサービス接続の管理者ロールに自動的に割り当てられます。

詳細については、「 Service connections」を参照してください。

プロジェクトレベルのサービス接続のセキュリティ ロールを設定する

すべてのサービス接続のセキュリティ ロールを管理するには、次の手順を実行します。

1. プロジェクトから Project 設定 を選択します。

2. [パイプライン] の下にある [サービス接続] を選択します。

3. [その他のアクション] を選択し、Security を選択します。

   

4. ロールを変更するには、ユーザーまたはグループを選択し、ドロップダウン メニューからロールを選びます。

   

5. ユーザーまたはグループを削除するには、ユーザーまたはグループを選択し、 Delete を選択します。

6. [保存] を選択して変更を保存するか、[元に戻す] を選択し、保存されていない変更を元に戻します。

セキュリティ ダイアログに表示されないプロジェクト ユーザーまたはグループを追加するには、次の手順を実行します。

1. [追加] を選択します。
2. 検索バーにユーザーまたはグループを入力し、検索結果から対象のユーザーまたはグループを選択します。 複数のユーザーとグループを追加できます。
3. [ロール] を選択します。
4. [追加] を選択して変更内容を保存します。

オブジェクト レベルのサービス接続セキュリティを設定する

サービス接続に対するユーザーとグループのセキュリティ ロール、およびパイプラインとプロジェクト アクセスを設定できます。 個々のサービス接続は、ユーザーとグループに対するプロジェクトレベルのロールの割り当てを既定で継承します。

個々のサービス接続のセキュリティ ダイアログを開くには、次の手順を実行します。

1. プロジェクトから Project 設定 を選択します。
2. [パイプライン] の下にある [サービス接続] を選択します。
3. [サービス接続] を選びます。
4. [その他のアクション] を選択し、Security を選択します。

ユーザーとグループのサービス接続のセキュリティ ロールを設定する

ユーザーとグループに対して継承されたロールをオーバーライドできます。 継承されたユーザーまたはグループを削除したり、継承されたロールの特権レベルを下げたりするには、継承を無効にする必要があります。

個々のサービス接続のセキュリティ ロールを管理するには、次の手順を実行します。

1. [セキュリティ] ダイアログの [ユーザーのアクセス許可] セクションで、[プロジェクト] を選択してプロジェクトレベルのユーザーとグループを管理するか、[組織] を選んで組織レベルまたはコレクションレベルのユーザーとグループを管理します。

   

2. ユーザーとグループを選択し、ロールを変更します。 継承されたロールの特権レベルを下げるには、継承を無効にする必要があります。

3. ユーザーまたはグループを削除するには、ユーザーまたはグループを選択し、 Delete を選択します。 継承が無効になっていない限り、継承されたユーザーとグループを削除することはできません。

4. [保存] を選択して変更を保存するか、[元に戻す] を選択し、保存されていない変更を元に戻します。

ロールを明示的に設定すると、そのユーザーまたはグループの継承が無効になります。 すべてのユーザーとグループの継承を無効にするには、[継承] 設定をオフにします。 継承を再度有効にすると、すべてのユーザーとグループのロールがそれぞれのプロジェクトレベルの割り当てに戻ります。

セキュリティ ダイアログに表示されないプロジェクトのユーザーまたはグループを追加するには:

1. [追加] を選択します。
2. 検索バーにユーザーまたはグループを入力し、検索結果から対象のユーザーまたはグループを選択します。 複数のユーザーとグループを追加できます。
3. [ロール] を選択します。
4. [追加] を選択して変更内容を保存します。

サービス接続のパイプラインのアクセス許可を設定する

パイプラインのアクセス許可を [アクセスを開く] に設定すると、すべてのパイプラインでサービス接続を使用できるようにしたり、特定のパイプラインへのアクセスを制限したりできます。

パイプラインのアクセス許可が [アクセスを開く] に設定されている場合は、[アクセスの制限] オプションを選択してアクセスを制限できます。

制限付きサービス接続にパイプラインを追加するには、 パイプラインの追加 を選択し、ドロップダウン メニューからパイプラインを選択します。

サービス接続を制限から開くアクセスに変更するには、[その他のアクション] を選択し、[アクセスを開くをします。

サービス接続のプロジェクトのアクセス許可を設定する

アクセスは現在のプロジェクトに既定で制限されています。 組織内またはコレクション内の他のプロジェクトへのアクセスを付与するには、[プロジェクトの追加] を選択します。

アクセス許可とサービス接続に関する問題がある場合は、Azure Resource Manager のサービス接続のトラブルシューティングに関する記事をご覧ください。

Azure Pipelines でタスク グループのアクセス許可を設定する

タスク グループのアクセス許可は、階層モデルに従います。 既定では、すべてのタスク グループはプロジェクトレベルのアクセス許可を継承します。 タスク グループが作成されたら、個々のタスク グループについて、プロジェクトレベルのアクセス許可とオブジェクトレベルのアクセス許可を変更できます。

次の表に、タスク グループのアクセス許可を示します。

権限	説明
タスク グループのアクセス許可の管理	タスク グループ セキュリティのユーザーまたはグループを追加および削除できます。
タスク グループの削除	タスク グループを削除できます。
タスク グループの編集	タスク グループを作成、変更、または削除できます。

次の表は、セキュリティ グループの既定のアクセス許可を示しています。

タスク	Readers	共同作成者	ビルド管理者	プロジェクト管理者	リリース管理者
タスク グループのアクセス許可を管理する			✔️	✔️	✔️
タスク グループを削除する			✔️	✔️	✔️
タスク グループを編集する		✔️	✔️	✔️	✔️

タスク グループの作成者には、タスク グループに対するアクセス許可がすべて割り当てられています。

Note

タスク グループは YAML パイプラインではサポートされていませんが、テンプレートはサポートされています。 詳しくは、YAML スキーマ リファレンスに関する記事をご覧ください。

プロジェクト レベルのタスク グループのアクセス許可を設定する

プロジェクト レベルのタスク グループのアクセス許可を設定するには、次の手順を実行します。

1. プロジェクトから、[パイプライン]>[タスク グループ] を選びます。

   

2. [セキュリティ] を選択します。

   

3. ユーザーとグループを選び、それぞれのアクセス許可を [許可]、[拒否]、または [未設定] に設定します。

   

4. 完了したら、ダイアログを閉じて変更を保存します。

アクセス許可ダイアログにユーザーまたはグループを追加する

アクセス許可ダイアログに表示されないユーザーとグループを追加するには、次の手順を実行します。

1. 検索バーにユーザーまたはグループを入力し、検索結果から対象のユーザーまたはグループを選択します。
2. アクセス許可を設定します。
3. ダイアログを閉じます。

セキュリティ ダイアログをもう一度開くと、対象のユーザーまたはグループが表示されます。

アクセス許可ダイアログからユーザーまたはグループを削除する

アクセス許可の一覧からユーザーを削除するには、次の手順を実行します。

1. ユーザーまたはグループを選択します。

2. [明示的なアクセス許可の削除とクリア] を選択します。

   

3. 完了したら、ダイアログを閉じて変更を保存します。

オブジェクトレベルのタスク グループのアクセス許可を設定する

個々のタスク グループのアクセス許可を設定するには、次の手順を実行します。

1. プロジェクトから、[パイプライン]>[タスク グループ] を選びます。

   

2. タスク グループを選びます。

3. [その他のコマンド] を選択し、Security を選択します。

4. ユーザーとグループを選び、それぞれのアクセス許可を [許可]、[拒否]、または [未設定] に設定します。

   

5. 完了したら、ダイアログを閉じて変更を保存します。

継承されたユーザーまたはグループのアクセス許可が明示的に設定されていると、その特定のアクセス許可の継承は無効になります。 継承を復元するには、アクセス許可を [未設定] に変更します。 すべてのユーザーとグループのアクセス許可の継承を無効にするには、[継承] 設定をオフにします。 継承をもう一度有効にすると、すべてのアクセス許可の設定がプロジェクト レベルに戻ります。

アクセス許可ダイアログにユーザーまたはグループを追加する

アクセス許可ダイアログに表示されないユーザーとグループを追加するには、次の手順を実行します。

1. 検索バーにユーザーまたはグループを入力し、検索結果から対象のユーザーまたはグループを選択します。
2. アクセス許可を設定します。
3. ダイアログを閉じます。

セキュリティ ダイアログをもう一度開くと、対象のユーザーまたはグループが表示されます。

アクセス許可ダイアログからユーザーまたはグループを削除する

ユーザーとグループをタスク グループから削除できます。 継承が無効になっていない限り、継承されたユーザーとグループを削除することはできません。

1. ユーザーまたはグループを選択します。

2. [明示的なアクセス許可の削除とクリア] を選択します。

   

3. 完了したら、ダイアログを閉じて変更を保存します。

Azure Pipelines でエージェント プールのセキュリティを設定する

エージェント プールは、ビルド ジョブとリリース ジョブの実行に使用されるエージェントのコレクションです。

エージェント プールを作成するには、組織スコープかプロジェクト スコープのどちらかを使用します。 組織スコープのエージェント プールは、組織内のすべての既存プロジェクトや新規プロジェクトからアクセスできます。組織ごとに 2 つのエージェント プール (Azure Pipelines と Default) が既定で用意されています。 これらの既定のプールには、組織内のすべてのプロジェクトからアクセスできます。

プロジェクトスコープのエージェント プールは、プロジェクト レベルで作成され、そのプロジェクトからのみアクセスできます。

組織設定から、組織内のすべてのエージェント プールと個々のエージェント プールに対して組織レベルのセキュリティ設定を管理できます。 組織レベルとプロジェクトレベルの両方のセキュリティ ロールは、プロジェクト設定から管理できます。

定義済みのセキュリティ ロールを使用して、エージェント プールのセキュリティ 管理します。

次の表に、エージェント プールのセキュリティ ロールを示します。

ロール	目的
Reader	エージェント プールを表示できます。
User	クラシックと YAML のビルド パイプラインとリリース パイプラインでエージェント プールを使用できます。
Creator	プロジェクトのエージェント プールを作成できます。 このロールは、プロジェクトレベルのロールのみです。
[サービス アカウント]	エージェント プールからエージェントを表示し、セッションを作成し、ジョブをリッスンできます。 このロールは、組織レベルまたはコレクション レベルでのみ設定されます。
管理者	エージェント プールを管理および使用でき、他のユーザーとグループのロールを管理できます。

次の表は、エージェント プールの既定のプロジェクトとオブジェクトのセキュリティ ロールを示しています。

グループ	ロール
[プロジェクト名]\プロジェクト管理者	管理者
[プロジェクト名]\ビルド管理者	管理者
[プロジェクト名]\プロジェクトの有効なユーザー	Reader
[プロジェクト名]\リリース管理者	管理者
エージェント プールを作成したユーザー	管理者

エージェント プールの組織のセキュリティを設定する

コレクションレベルのユーザーとグループは、組織内のすべてのエージェント プールまたは個々のプロジェクトスコープのエージェント プールに対して管理できます。 エージェント プールのセキュリティ ロールは、閲覧者、サービス アカウント、および管理者です。 ユーザー ロールと作成者ロールは、組織レベルでは使用できません。

すべてのエージェント プールに組織のセキュリティを設定する

既定では、組織レベルのすべてのプールに対して明示的なロールを持つユーザーまたはグループはありません。 組織レベルのユーザーとグループを追加し、組織内のすべてのエージェント プールのセキュリティ ロールを管理できます。

組織内のすべてのエージェント プールのセキュリティ ロールを管理するには、次の手順を実行します。

1. [組織の設定] : に移動し、[エージェント プール] を選択します。

2. [セキュリティ] を選択します。

   

3. ユーザーとグループを追加するには:

   1. [追加] を選択します。

   2. ユーザーまたはグループを入力して検索結果から選択します。

   3. さらにユーザーとグループを追加するには、前の手順を繰り返します。

   4. ロールを選び、[追加] を選択します

      

4. ユーザーまたはグループを一覧から削除するには、ユーザーまたはグループを選択し、 Delete を選択します。

5. セキュリティ ロールを変更するには、対象のユーザーまたはグループを選び、ドロップダウン リストからロールを選択します。

6. [変更の保存] を選択して変更を保存するか変更を設定 保存されていない変更を元に戻します。

   

7. ダイアログを閉じます。

個々のエージェント プールに組織のセキュリティを設定する

個々のエージェント プールは、組織レベルのセキュリティ割り当てを継承します。 Default エージェント プールと Azure Pipelines エージェント プールには、組織内のプロジェクトごとのプロジェクトの有効なユーザー グループが含まれています。

プロジェクト レベルで作成されたエージェント プールには、 [<project name>]\Project Valid Users グループとエージェント プールの作成者が自動的に割り当てられます。 作成者は削除したり変更したりできません。 プロジェクト設定から追加された組織レベルのユーザーとグループは、ここに一覧表示されます。

組織レベルのユーザーとグループを追加および削除して、個々のエージェント プールに対してセキュリティ ロールを設定できます。 このレベルのセキュリティ ロールは、閲覧者、サービス アカウント、および管理者です。

コレクション内のすべてのエージェント プールのセキュリティ ロールを管理するには、次の手順を実行します。

1. [組織の設定] : に移動し、[エージェント プール] を選択します。
2. エージェント プールを選択します。
3. [セキュリティ] を選択します。
4. ユーザーとグループを追加するには:
   1. [追加] を選択します。
   2. ユーザーまたはグループを入力して検索結果から選択します。
   3. さらにユーザーとグループを追加するには、前の手順を繰り返します。
   4. ロールを選び、[追加] を選択します。
      
5. ユーザーまたはグループを削除するには、ユーザーまたはグループを選択し、 Delete を選択します。
6. セキュリティ ロールを変更するには、対象のユーザーまたはグループを選び、ドロップダウン リストからロールを選択します。
7. [変更の保存] を選択して変更を保存するか変更を設定 保存されていない変更を元に戻します。
8. ダイアログを閉じます。

プロジェクトレベルのエージェント プールのセキュリティを設定する

すべてのエージェント プールに対してプロジェクト レベルのセキュリティ ロールを設定するには、次の手順を実行します。

1. プロジェクトから Project 設定を選択し Agent プールを選択します。

2. [セキュリティ] を選択します。

   

3. ユーザーまたはグループを選択し、ロールを [閲覧者]、[ユーザー]、[作成者]、または [管理者] に設定します。

   

4. ユーザーまたはグループを削除するには、ユーザーまたはグループを選択し、 Delete を選択します。

5. [変更の保存] を選択して変更を保存するか変更を設定 保存されていない変更を元に戻します。

セキュリティ ダイアログに表示されないプロジェクトのユーザーまたはグループを追加するには:

1. [追加] を選択します。

2. 検索バーにユーザーまたはグループを入力し、検索結果から対象のユーザーまたはグループを選択します。 複数のユーザーとグループを追加できます。

3. [ロール] を選択します。

4. [追加] を選択して変更内容を保存します。

   

オブジェクトレベルのエージェント プールのセキュリティを設定する

プロジェクト レベルのユーザーおよびグループ ロールの割り当てをオーバーライドし、個々のエージェント プールのパイプラインアクセス許可を設定できます。 継承されたユーザーまたはグループを削除する、または継承されたロールの特権レベルを下げるには、継承を無効にする必要があります。

セキュリティ ダイアログを開くには:

1. プロジェクトから Project 設定を選択し Agent プールを選択します。

2. エージェント プールを選択します。

3. [セキュリティ] を選択します。

個々のエージェント プールのパイプライン アクセス許可を設定する

個々のエージェント プールにパイプライン アクセス許可を設定するには:

1. [アクセス許可の制限] を選択します。 このオプションを使用できるのは、プールが特定のパイプラインに制限されていない場合のみです。

   

2. [パイプライン 追加 を選択します。

   

3. ドロップダウン メニューから、エージェント プールに追加するパイプラインを選択します。

すべてのパイプラインへのアクセスを開くには、 [その他のアクション ] を選択し、[アクセス 開くを選択します。

オブジェクトレベルのエージェント プールのユーザー アクセス許可を設定する

セキュリティ ダイアログの [ユーザーのアクセス許可] セクションから、次の操作を行います。

1. ユーザーまたはグループを選択し、ロールを [閲覧者]、[ユーザー]、または [管理者] に設定します。

   

2. ユーザーまたはグループを削除するには、ユーザーまたはグループを選択し、 Delete を選択します。 継承が無効になっていない限り、継承されたユーザーとグループを削除することはできません。

3. [変更の保存] を選択して変更を保存するか変更を設定 保存されていない変更を元に戻します。

ロールを明示的に設定すると、そのユーザーまたはグループの継承が無効になります。 すべてのユーザーとグループの継承を無効にするには、[継承] 設定をオフにします。 継承を再度有効にすると、すべてのユーザーとグループのロールがそれぞれのプロジェクトレベルの割り当てに戻ります。

セキュリティ ダイアログに表示されないプロジェクト ユーザーまたはグループを追加するには、次の手順を実行します。

1. [追加] を選択します。

2. 検索バーにユーザーまたはグループを入力し、検索結果から対象のユーザーまたはグループを選択します。 複数のユーザーとグループを追加できます。

3. [ロール] を選択します。

4. [追加] を選択して変更内容を保存します。

   

関連記事

• アクセス許可、アクセスおよびセキュリティ グループの概要
• 既定のアクセス許可とアクセス
• アクセス許可とグループのリファレンス
• Azure Pipelines をセキュリティで保護する
• Azure DevOps CLI リファレンス