Назначение уровней доступа с помощью правил группы

Azure DevOps Services

Azure DevOps предоставляет уровни доступа на основе групп Microsoft Entra и групп Azure DevOps, что позволяет эффективно управлять разрешениями, назначая уровни доступа всем группам пользователей. В этой статье объясняется, как добавить правило группы для назначения уровня доступа группе пользователей. Ресурсы Azure DevOps назначаются всем членам группы.

Назначьте правило группы для управления уровнями доступа и членством в проекте. Если пользователю назначено несколько правил или групп Microsoft Entra с разными уровнями доступа, они получают самый высокий уровень доступа среди них. Например, если Джон назначен двум группам Microsoft Entra с различными правилами группы — один, указывающий доступ заинтересованных лиц и другой базовый доступ, Джон получает базовый доступ.

Когда пользователь покидает группу Microsoft Entra, Azure DevOps настраивает уровень доступа в соответствии с определенными правилами группы. Если группа была единственным источником доступа пользователя, Azure DevOps автоматически удаляет их из организации. Если пользователь принадлежит другим группам, их уровень доступа и разрешения переоценены.

Примечание.

• Изменения, внесенные в средства чтения проектов с помощью правил группы, не сохраняются. Чтобы настроить средства чтения проектов, рассмотрите альтернативные методы, такие как прямое назначение или пользовательские группы безопасности.
• Регулярно просматривайте правила, перечисленные на вкладке "Правила группы" на странице "Пользователи". Изменения членства в группе идентификаторов Microsoft Entra будут отображаться в следующей повторной оценке правил группы, которые можно выполнять по запросу, при изменении правила группы или автоматически каждые 24 часа. Azure DevOps обновляет членство в группе Microsoft Entra каждый час, но для обновления динамического членства в группах может потребоваться до 24 часов.

Необходимые компоненты

Разрешения. Быть членом группы администраторов коллекции проектов. Владельцы организации автоматически входят в эту группу.

Добавление правила группы

1. Войдите в свою организацию (https://dev.azure.com/{yourorganization}).

2. Выберите параметры организации.

   

3. Выберите разрешения и убедитесь, что вы являетесь членом группы "Администраторы коллекции проектов".

   

4. Выберите "Пользователи" и выберите "Правила группы". В этом представлении показаны все созданные правила группы. Выберите " Добавить правило группы".

   

   Правила группы отображаются только в том случае, если вы являетесь членом группы администраторов коллекции проектов .

5. Заполните диалоговое окно для группы, для которой требуется создать правило. Включите уровень доступа для группы и любой дополнительный доступ к проекту для группы. Выберите Добавить.

   

   Отображается уведомление, показывающее состояние и результат правила. Если назначение не удалось завершить, выберите состояние "Вид", чтобы просмотреть сведения.

   

Внимание

• Правила групп применяются только к пользователям без прямых назначений и к пользователям, добавленным в группу. Удалите прямые назначения, чтобы правила группы применялись к этим пользователям.
• Пользователи не отображаются во всех пользователях , пока они не попытаются войти в систему в первый раз.

Управление членами группы

1. Выберите ">>Управление элементами группы".

   Сохраняйте существующую автоматизацию для управления уровнями доступа пользователей, работающими как есть (например, скрипты PowerShell). Цель заключается в том, чтобы обеспечить точное отражение тех же ресурсов, применяемых автоматизацией для этих пользователей.

2. Добавьте участников и нажмите кнопку "Добавить".

   

   При назначении того же уровня доступа пользователю они используют только один уровень доступа, независимо от того, выполняется ли назначение напрямую или через группу.

Проверка правила группы

Убедитесь, что ресурсы применяются к каждой группе и отдельному пользователю. Выберите всех пользователей, выделите пользователя и нажмите кнопку "Сводка".

Удаление прямых назначений

Чтобы управлять ресурсами пользователя исключительно через членство в группах, удалите любые прямые назначения. Ресурсы, назначенные пользователю по отдельности, остаются назначенными независимо от изменений членства в группах пользователя.

1. Войдите в свою организацию (https://dev.azure.com/{yourorganization}).

2. Выберите параметры организации.

   

3. Выберите Пользователи.

   

4. Выберите всех пользователей с ресурсами для управления только по группам.

   

5. Чтобы подтвердить удаление прямых назначений, нажмите кнопку "Удалить".

   

   Прямые назначения удаляются от пользователей. Если пользователь не является членом каких-либо групп, это не влияет на пользователя.

Вопросы и ответы

Вопрос. Как Подписки Visual Studio работать с правилами группы?

Ответ. Подписчики Visual Studio всегда назначаются напрямую через портал администрирования Visual Studio и имеют приоритет в Azure DevOps над уровнями доступа, назначенными напрямую или с помощью правил группы. При просмотре этих пользователей из Центра пользователей источник лицензий всегда отображается как Direct. Единственным исключением являются подписчики Visual Studio Professional, которым назначены базовые и тестовые планы. Так как базовые и тестовые планы предоставляют больше доступа в Azure DevOps, он имеет приоритет над подпиской Visual Studio Professional.

Связанные статьи

• Установка пользователей или групп Active Directory и Microsoft Entra в встроенную группу безопасности
• Сведения о доступе к организации с помощью идентификатора Microsoft Entra
• Управление группами Microsoft Entra