Szybsze skanowanie zabezpieczeń dzięki domyślnej konfiguracji CodeQL i rozszerzonym opcjom Autofix

W tym sprincie łatwiej niż kiedykolwiek wzmocnić bezpieczeństwo aplikacji za pomocą GitHub Advanced Security for Azure DevOps. Domyślna konfiguracja języka CodeQL jest teraz ogólnie dostępna, zapewniając najszybszy sposób włączania skanowania kodu bez tworzenia ani obsługi potoku YAML. W tym sprincie wprowadzono również obsługę C/C++, automatyczne skanowania początkowe po włączeniu konfiguracji domyślnej, większą widoczność wykonywania skanowania oraz rozszerzoną konfigurację Copilot Autofix na poziomie organizacji, projektu i repozytorium.

Razem te ulepszenia ułatwiają zespołom szybsze identyfikowanie i korygowanie luk w zabezpieczeniach przy jednoczesnym zmniejszeniu obciążeń administracyjnych.

Sprawdź notatki o wydaniu, aby uzyskać szczegóły.

General

GitHub Advanced Security dla usługi Azure DevOps

Azure Pipelines

Azure Repos

Azure Test Plans

General

Do serwera Azure DevOps Remote MCP Server dodano narzędzia do migracji na żywo dla przedsiębiorstw

Migracje na żywo dla przedsiębiorstw (ELM) pomagają migrować repozytoria Azure DevOps do usługi GitHub Enterprise Cloud z rezydencją danych, minimalizując zakłócenia pracy zespołów programistycznych.

Dodaliśmy obsługę ELM do serwera Azure DevOps Remote MCP, umożliwiając agentom wykonywanie typowych zadań migracji za pośrednictwem serwera.

Listę dostępnych narzędzi i wymaganą konfigurację można znaleźć w dokumentacji serwera Azure DevOps Remote MCP Server.

Uwaga / Notatka

Enterprise Live Migrations (ELM) jest obecnie dostępna w ramach prywatnej wersji zapoznawczej.

Project-level cost reporting for Copilot Code Reviews (Raportowanie kosztów na poziomie Project na potrzeby przeglądów kodu Copilot)

Dodaliśmy tagi projektów do danych rozliczeniowych usługi Copilot Code Review, co umożliwia raportowanie, tworzenie budżetów i konfigurowanie alertów w usłudze Azure Cost Management dla poszczególnych projektów. Ułatwia to śledzenie kosztów przeglądu kodu Copilot przez projekt Azure DevOps, zwiększanie przypisania kosztów i monitorowanie użycia w całej organizacji.

Filtr w usłudze Azure Cost Management pokazujący opcje tagu projektu na potrzeby raportowania kosztów funkcji Copilot Code Review

GitHub Advanced Security dla usługi Azure DevOps

Domyślna konfiguracja języka CodeQL jest teraz ogólnie dostępna

Domyślna konfiguracja codeQL jest teraz ogólnie dostępna. Konfiguracja domyślna to najszybszy sposób włączenia skanowania kodu przy użyciu CodeQL — automatycznie konfiguruje i uruchamia CodeQL dla repozytorium, bez konieczności tworzenia i utrzymywania potoku YAML. Włącz je w Ustawieniach swojego repozytorium, a Advanced Security zajmie się resztą.

Ta wersja wprowadza również usprawnienia, dzięki którym uruchomienia domyślnej konfiguracji są łatwiejsze do monitorowania i znajdowania:

  • Ulepszony podgląd dzienników dla domyślnych przebiegów konfiguracji — skoncentrowany, łatwy do odczytania widok dziennika, dzięki czemu można szybko potwierdzić zakończenie i powodzenie skanowania oraz zagłębić się w szczegóły, gdy zajdzie taka potrzeba.

Ulepszony podgląd dzienników pokazujący uruchomienie domyślnej konfiguracji CodeQL, które zakończyło się pomyślnie

  • Jaśniejsze nazewnictwo uruchomień — zaktualizowana konwencja nazewnictwa sprawia, że uruchomienia konfiguracji domyślnej są łatwe do rozpoznania na pierwszy rzut oka w widoku dziennika zadań w puli agentów.
  • Nowe filtry stanu i repozytorium w widoku dziennika zadań puli agentów — filtruj zadania według stanu i repozytorium, aby szybko dowiedzieć się, co się stało z zadaniem w puli agentów. Te filtry dotyczą wszystkich zadań w widoku, a nie tylko domyślnych przebiegów konfiguracji.

Widok dziennika zadań puli agentów z nowymi filtrami stanu i repozytorium

Domyślna konfiguracja codeQL obsługuje teraz język C/C++

Domyślna konfiguracja codeQL obsługuje teraz język C/C++. Po włączeniu konfiguracji domyślnej język C/C++ jest wyświetlany jako obsługiwany język w panelu dodatkowych szczegółów i jest skanowany w ramach skonfigurowanego domyślnego środowiska konfiguracji. Aby uzyskać więcej informacji, zobacz konfigurowanie skanowania kodów.

Domyślna konfiguracja codeQL automatycznie kolejkuje początkowy przebieg po włączeniu

Po włączeniu domyślnej konfiguracji codeQL na poziomie organizacji lub projektu początkowe uruchomienie jest teraz automatycznie kolejkowane, więc nie trzeba czekać na zaplanowany cotygodniowy przebieg, aby uzyskać pierwsze wyniki. Aby uzyskać więcej informacji, zobacz konfigurowanie skanowania kodów.

Włącz Autofix na poziomie organizacji, projektu lub repozytorium

Teraz możesz włączyć funkcję Copilot Autofix na poziomie organizacji, projektu lub repozytorium. Wcześniej Autofix można było skonfigurować tylko na poziomie repozytorium; dzięki włączaniu w wielu zakresach możesz włączyć Autofix raz na szerszym poziomie, aby działał we wszystkich repozytoriach. Aby uzyskać więcej informacji, zobacz Copilot Autofix dla skanowania kodu.

Usuń stan błędu i ponów uruchomienia funkcji Autofix

Gdy uruchomienie funkcji Copilot Autofix zakończy się niepowodzeniem, widok szczegółów alertu wyświetla teraz wyraźny stan niepowodzenia, dzięki czemu można szybko sprawdzić, że uruchomienie się nie powiodło, a także dokąd przejść, aby zbadać problem, oraz skorzystać z wyraźnej opcji ponowienia uruchomienia.

Aby uzyskać więcej informacji na temat funkcji Copilot Autofix, zobacz Copilot Autofix do skanowania kodu.

Komunikat o niepowodzeniu skanowania kodu przez Copilot Autofix.

Azure Pipelines

Ręczne i automatyczne wyłączanie połączeń usług

Połączenia usług mają stały dostęp do usług zewnętrznych lub zdalnych, które są przeznaczone lub używane w zadaniach w zadaniu potoku. Gdy potok zostanie zaktualizowany tak, aby był uruchamiany ręcznie, ale w praktyce nigdy nie zostanie uruchomiony, dostęp pozostaje zachowany.

Połączenia usługi, do których nadal odwołują się potoki, ale które nie są już używane, mogą zostać wyłączone przez administratora połączenia usługi, na przykład przez osobę, która utworzyła połączenie usługi, lub Administratora projektu. Aby wyłączyć połączenie z usługą, kliknij 3 kropki w prawym górnym rogu i wybierz pozycję Wyłącz.

Zrzut ekranu przedstawiający sposób wyłączania połączenia z usługą.

W Microsoft uważamy, że najlepszym rozwiązaniem jest automatyczne wyłączanie połączeń usług, które nie mają użycia. W ramach zasady Secure Future Initiative Secure domyślnie zaczynamy wyłączać połączenia usług, które nie były używane przez 100 dni. Połączenia usługi, które są wyłączone, są rejestrowane w dzienniku inspekcji. Jeśli musisz ponownie włączyć połączenie z usługą do użycia po upływie 100 dni braku aktywności, kliknij 3 kropki w prawym górnym rogu i wybierz pozycję Włącz.

Zrzut ekranu przedstawiający sposób włączania połączenia z usługą.

Wystawca Azure DevOps w połączeniach usługowych federacji tożsamości obciążeń jest przestarzały

Wystawca Azure DevOps w połączeniach usługowych federacji tożsamości obciążeń jest oznaczony jako przestarzały, a jego wycofanie zaplanowano na 1 lipca 2027 r. Wycofany wystawca używa prefiksu https://vstoken.dev.azure.com w poświadczeniach federacyjnych.

Nowe połączenia usługi federacyjnej tożsamości obciążenia domyślnie używają wystawcy Microsoft Entra. Istniejące połączenia usług, które nadal korzystają z wystawcy Azure DevOps, nadal działają do czasu wycofania, ale należy zaktualizować je do wystawcy Microsoft Entra przed 1 lipca 2027 r.

Połączenia usług, które wymagają akcji, są wyświetlane w górnej części listy połączeń usługi i wyświetlają ostrzeżenie w interfejsie użytkownika konfiguracji połączenia z usługą. Wybierz pozycję Aktualizuj w połączeniu z usługą, aby przekonwertować je na wystawcę Microsoft Entra.

Ważna

To wycofanie dotyczy tylko połączeń z usługami w publicznej chmurze Azure, korzystających z aplikacji Microsoft Entra jednotenantowych lub tożsamości zarządzanych. Połączenia usług przeznaczone dla chmur innych niż publiczne, takie jak Azure Government, Azure Chiny lub Azure Stack, oraz połączenia usług korzystające z aplikacji wielodostępnych (signInAudience: AzureADMultipleOrgs) są wykluczone.

Aby uzyskać więcej informacji, zobacz ogłoszenie Wycofanie wystawcy Azure DevOps w połączeniach usług federacji tożsamości obciążenia oraz dokumentację Konwertowanie połączeń usług z wystawcy Azure DevOps na wystawcę Microsoft Entra.

Azure Repos

Gdy wypchniesz nową gałąź do Azure Repos, dane wyjściowe polecenia git push zawierają teraz bezpośredni link do utworzenia żądania ściągnięcia zmian. Dzięki temu można szybciej otworzyć PR zaraz po wypchnięciu zmian, bez konieczności ręcznego przechodzenia do interfejsu webowego.

Przykładowy wynik:

remote:
remote: Create a pull request for 'my-branch' on Azure DevOps by visiting:
remote:   https://dev.azure.com/org/project/_git/repo/pullrequestcreate?sourceRef=my-branch&targetRef=main
remote:

Azure Test Plans

Funkcja rzeczywistego wyniku na potrzeby testowania ręcznego jest teraz ogólnie dostępna

Funkcja Rzeczywisty wynik na potrzeby testowania ręcznego w Azure Test Plans jest teraz ogólnie dostępna. Ogłosiliśmy publiczną wersję zapoznawcza w kwietniu i w oparciu o pozytywne opinie społeczności i solidne wyniki techniczne funkcji, teraz promujemy ją do ogólnej dostępności.

Rzeczywisty rezultat był jedną z funkcji najczęściej zgłaszanych przez społeczność. Rzeczywisty wynik umożliwia rejestrowanie dokładnych wyników na poziomie kroków dla każdego kroku testu przy użyciu tekstu i załączników. Ta funkcja zwiększa możliwość śledzenia, gotowość inspekcji i współpracę między zespołami. Możesz włączyć wynik rzeczywisty jako opcjonalne lub obowiązkowe pole na poziomie planu testu, przejrzeć przechwycone wyniki bezpośrednio w centrum przebiegu testu i uzyskać do nich dostęp programowo za pośrednictwem interfejsu API REST Azure DevOps.

Następne kroki

Uwaga / Notatka

Te funkcje będą wdrażane w ciągu najbliższych dwóch do trzech tygodni. Przejdź do Azure DevOps i spójrz.

Przejdź do usługi Azure DevOps

Jak przekazać opinię

Chcemy usłyszeć, co myślisz o tych funkcjach. Użyj menu Pomocy, aby zgłosić problem lub podać sugestię.

Utwórz sugestię

Możesz również uzyskać porady i odpowiedzi na pytania społeczności w witrynie Stack Overflow.

  • Last updated on