Kişisel erişim belirteçlerini kullanma

Azure DevOps Hizmetleri | Azure DevOps Server | Azure DevOps Server 2022

Kişisel erişim belirteci (PAT), Azure DevOps kimlik doğrulaması için alternatif bir parola işlevi görür. Bu PAT sizi tanımlar ve erişilebilirliğinizi ve erişim kapsamınızı belirler. PAT'lere parolalarla aynı düzeyde dikkatli davranın.

Dikkat

Daha güvenli bir kimlik doğrulama yöntemi kullanılabilir olduğunda, PAT kullanmaktan kaçının. PAT'ler sızdırılabilen, çalınabilen veya kötüye kullanılabilecek uzun ömürlü kimlik bilgileri olduğundan doğal güvenlik riskleri taşır. Mümkün olduğunda Microsoft Entra belirteçleri, yönetilen kimlikleri veya hizmet temsilcilerini kullanın.

Microsoft araçlarını kullandığınızda, Microsoft hesabınız veya Microsoft Entra ID tanınır ve desteklenir. Microsoft Entra hesaplarını desteklemeyen araçlar kullanıyorsanız veya birincil kimlik bilgilerinizi paylaşmamayı tercih ediyorsanız alternatif kimlik doğrulama yöntemi olarak PAT'leri kullanmayı göz önünde bulundurun.

Tip

Bu makalenin devamında AI kullanarak bu göreve yardımcı olabilirsiniz veya başlamak için Azure DevOps MCP Server ile yapay zeka yardımı sağlama konusuna bakın.

Önkoşullar

Kategori	Gereksinimler
Permissions	PAT'ların yönetildiği kullanıcı ayarlarınıza erişme ve bunları değiştirme izni. - Profilinize gidin ve Kullanıcı ayarları>Kişisel erişim belirteçleri'ni seçin. PAT'lerinizi burada görüp yönetebiliyorsanız, gerekli izinlere sahipsinizdir. - Projenize gidin ve Proje ayarlarını seçin, ardından>İzinler. Listede kullanıcı hesabınızı bulun ve size atanan izinleri denetleyin. Belirteçleri veya kullanıcı ayarlarını yönetmeyle ilgili izinleri arayın. - Kuruluşunuzun ilkeleri varsa, bir yöneticinin size belirli izinler vermesi veya PAT'leri oluşturup yönetmek için sizi izin listesine eklemesi gerekebilir. - PAT'ler belirteci basan kullanıcı hesabına bağlanır. PAT'nin gerçekleştirdiği görevlere bağlı olarak, kendiniz daha fazla izne ihtiyacınız olabilir.
Erişim düzeyleri	En azından Temel erişim.
Görevler	PAT'leri yalnızca gerektiğinde kullanın ve her zaman düzenli olarak döndürün. PAT'leri kullanmak için en iyi yöntemler bölümüne bakın.

PAT oluştur

1. Kuruluşunuzda oturum açın (https://dev.azure.com/{Your_Organization}).

2. Giriş sayfanızdan kullanıcı ayarlarını açın ve Kişisel erişim belirteçleri'ni seçin.

   

3. + Yeni Belirteç'i seçin.

   

4. Belirtecinizi adlandırın, belirteci kullanmak istediğiniz kuruluşu seçin ve belirtecinizin süresi belirli bir gün sayısından sonra otomatik olarak dolacak şekilde ayarlayın.

   

5. Belirli görevlerinizi yetkilendirmek için bu belirtecin kapsamlarını seçin.

   Örneğin, Azure DevOps kimlik doğrulaması yapmak üzere build ve release agent için belirteç oluşturmak için belirtecin kapsamını Agent Havuzları (Okuma ve yönetme) olarak ayarlayın. Denetim günlüğü olaylarını okumak ve akışları yönetmek veya silmek için Denetim Günlüğünü Oku'ya ve ardından Oluştur'a tıklayın.

   

   Yöneticiniz tam kapsamlı PAT'ler oluşturmanızı kısıtlayabilir veya sizi yalnızca paketleme kapsamıNDAKI PAT'larla sınırlayabilir. Daha fazla kapsama erişmeniz gerekiyorsa izinler listesine ulaşmak için yöneticinize ulaşın. Örneğin, vso.governancebazı kapsamlar yaygın genel kullanım için değilse kullanıcı arabiriminde (UI) kullanılamayabilir.

6. İşiniz bittiğinde belirteci kopyalayın ve güvenli bir konumda depolayın. Güvenliğiniz için yeniden görüntülenmez.

   

PAT'nizi, Azure DevOps kimlik doğrulaması için kullanıcı kimlik bilgilerinizin gerekli olduğu her yerde kullanabilirsiniz. Unutmayın:

• PAT'ye parolanızla aynı dikkatle davranın ve gizli tutun. PAT'leri paylaşmayın.
• Microsoft Entra ID tarafından desteklenen kuruluşlar için 90 gün içinde yeni PAT'inizle oturum açmazsanız, etkinliğini kaybeder. Daha fazla bilgi için bkz. Koşullu erişim için kullanıcı oturum açma sıklığı.

Bildirimler

Pat'in kullanım ömrü boyunca kullanıcılar iki bildirim alır: biri PAT oluşturulduğunda diğeri de süresi dolmadan önce.

PAT oluşturduktan sonra aşağıdaki örneğe benzer bir bildirim alabilirsiniz. Bu bildirim, PAT'nizin kuruluşunuza başarıyla eklendiğini onaylar.

Belirtecin süresi dolmadan önce bir süre sonu bildirimi e-postası gönderilir. Yöneticiniz kuruluşta PAT oluşturma yeteneğinizi kaldırdıysa, e-posta artık PAT'leri yeniden oluşturamadığını gösterir. Bu kuruluşta PAT oluşturma izinlerinin devam etmesi için izin verilenler listesine eklenmesi için proje koleksiyonu yöneticinize ulaşın.

Beklenmeyen bildirim

Beklenmeyen bir PAT bildirimi alırsanız, bu bir yöneticinin veya aracın sizin için bir PAT oluşturduğu anlamına gelebilir. Aşağıda bazı örnekler verilmiştir:

• git.exearacılığıyla bir Azure DevOps Git deposuna bağlandığınızda git: https://dev.azure.com/{yourorganization} on YourMachine adlı bir belirteç oluşturulur.
• Siz veya bir yönetici Azure App Service web uygulaması dağıtımı ayarladığınızda Service Hooks: Azure App Service: Deploy web app adlı bir belirteç oluşturulur.
• Web yük testi, bir işlem hattının parçası olarak ayarlandığında WebAppLoadTestCDIntToken adlı bir belirteç siz veya yönetici tarafından oluşturulur.
• Microsoft Teams Integration Messaging Uzantısı ayarlandığında Microsoft Teams Integration adlı bir belirteç oluşturulur.

Durumun ciddi olduğunu düşünüyorsanız:

• Pat'i iptal edin (ve parolanızı değiştirin) hatayla var olduğundan şüpheleniyorsanız.
• Kuruluşunuza bilinmeyen bir kaynağın veya konumun erişip erişmediğini görmek için Microsoft Entra bir kullanıcı olup olmadığınız yöneticinize danışın.
• Yanlışlıkla yapılan PAT taahhütlerini genel GitHub depolarına yükleme hakkında SSS bölümünü gözden geçirin.

Bir PAT kullan.

PAT'niz, parola gibi dijital kimliğiniz olarak görev alır. Tek seferlik isteklerde bulunmanın veya yerel olarak bir uygulamanın prototipini oluşturmanın hızlı bir yolu olarak PAT'leri kullanın. İsteğinizin yetkilendirme üst bilgisine PAT'yi ekleyerek REST API isteklerini kimliğini doğrulamak ve iş akışlarını otomatize etmek için kodunuzda PAT kullanın.

Uygulama kodunuz çalıştıktan sonra, uygulamanızın kullanıcıları için belirteç almak amacıyla Microsoft Entra OAuth'a geçin veya uygulama olarak belirteç almak için hizmet sorumlusu veya yönetilen kimlik kullanın. Uygulamaları veya betikleri PAT'lerle uzun süre çalıştırmayın. PAT'nin kullanıldığı her yerde Microsoft Entra belirteçleri kullanabilirsiniz.

Beklenmeyen istekler için Azure CLI aracılığıyla bir Microsoft Entra belirteci almayı göz önünde bulundurun.

Windows

PAT'yi bir HTTP üst bilgisi aracılığıyla sağlamak için önce onu bir Base64 dizesine dönüştürün. Ardından, bunu aşağıdaki biçimde bir HTTP üst bilgisi olarak sağlayın:

Authorization: Basic BASE64_USERNAME_PAT_STRING

Linux/macOS

Aşağıdaki örnek, curl kullanarak yapıların listesini listeler.

curl -u :{PAT} https://dev.azure.com/{organization}/_apis/build-release/builds

PAT'i değiştirme

PAT'yi değiştirmek için aşağıdaki adımları kullanın:

• Yeni bir belirteç oluşturmak ve önceki belirteci geçersiz kılmak için PAT'yi yeniden oluşturun.
• Geçerlilik süresini artırmak için PAT'yi genişletin.
• İzinlerini değiştirmek için PAT'nin kapsamını değiştirin.

1. Giriş sayfanızdan kullanıcı ayarlarını açın ve Kişisel erişim belirteçleri'ni seçin.

2. Değiştirmek istediğiniz belirteci seçin ve ardından Düzenle'yi seçin.

   

3. Belirteç adını, belirteç süre sonunu veya belirteçle ilişkili erişim kapsamını düzenleyin ve kaydet'i seçin.

   

PAT'i iptal et

Pat'i şu ve diğer nedenlerle istediğiniz zaman iptal edin:

• Güvenlik ihlali: Bir PAT'in tehlikeye girdiğinden, sızdırıldığından veya günlükler ya da genel depolarda ifşa edildiğinden şüpheleniyorsanız, derhal iptal edin.
• Artık gerekli değil: Oluşturduğunuz proje, hizmet veya tümleştirme tamamlandığında PAT'yi iptal edin.
• İlke uyumluluğu: Güvenlik ilkelerini, uyumluluk gereksinimlerini veya kuruluş belirteci döndürme zamanlamalarını zorunlu kılmak için PAT'yi iptal edin.
• Kullanıcı değişiklikleri: Ekip üyesi kuruluşa ayrıldığında veya rolleri değiştirdiğinde ve artık erişime gerek kalmadığında PAT'yi iptal edin.
• Kapsam azaltma: Erişim özelliklerini sınırlamanız gerektiğinde azaltılmış izinlere sahip bir PAT'yi iptal edin ve yeniden oluşturun.
• Düzenli bakım: Rutin güvenlik hijyeni ve belirteç yaşam döngüsü yönetimi kapsamında PAT'i iptal edin.

PAT'yi iptal etmek için şu adımları izleyin:

1. Giriş sayfanızda kullanıcı ayarlarını açın ve Kişisel erişim belirteçleri'ni seçin.

2. Güvenlik bölümünde Kişisel erişim belirteçleri'ni seçin. Erişimini iptal etmek istediğiniz belirteci seçin ve ardından İptal Et'i seçin.

   

3. Onay iletişim kutusunda İptal Et'i seçin.

   

PAT'nin süresi dolduğunda veya iptal edildiğinde ne olur?

PAT'nin süresi dolduğunda veya iptal edildiğinde, pat kullanan tüm hizmet veya araçlar Azure DevOps için kimlik doğrulamasını hemen kaybeder. Etkiyi anlamak, döndürmeyi planlamanıza ve hizmet kesintilerini önlemenize yardımcı olur.

Senaryoya göre hizmet etkisi

Scenario	Davranış	Hata mesajı	Timeline
Git işlemleri (kopyalama, gönderme, çekme)	Kimlik doğrulaması başarısız olur; işlemler engellendi	fatal: Authentication failed for '<url>' veya 401 Unauthorized	Hemen
Azure Pipelines CI/CD	Derleme veya yayın işi kimlik doğrulama adımında başarısız olur	Error: Personal access token (PAT) is invalid or expired	Sonraki işlem hattı çalıştırması
REST API çağrıları	Tüm API istekleri başarısız olur; tümleştirme durduruldu	401 Unauthorized veya TF400813: Resource not available for anonymous access	Hemen
Azure Artifacts (NuGet, npm, Maven)	Paket geri yükleme veya yayımlama başarısız oluyor	401 Unauthorized veya Credentials could not be authenticated	Hemen
Git Kimlik Bilgileri Yöneticisi	Yeniden kimlik doğrulaması gerektirir	Kullanıcıdan yeniden oturum açması istendi	Sonraki kimlik doğrulama girişimi
Betikler ve otomasyon araçları	Yürütme kimlik doğrulaması hatasıyla başarısız oluyor	Araclara özgü hata (araclara göre değişir)	Hemen

Etki zaman çizelgesi

1. Son kullanma tarihinde (belirtilen tarih):

   • PAT otomatik olarak etkin değil olur
   • Tüm aktif bağlantılar kesilir
   • Yeni kimlik doğrulama girişimleri başarısız oldu

2. Süre sonundan sonraki saatlerde:

   • Zamanlanan işler (işlem hatları, dağıtımlar) sonraki yürütmede başarısız olur
   • Etkileşimli kullanıcılar bir sonraki işlemi deneyene kadar fark etmeyebilir

3. İptalden sonra (hemen):

   • Tüm aktif oturumlar sonlandırılır
   • Bu PAT kullanan tüm yeni istekler reddedilir

Proaktif önleme stratejileri

Hizmet kesintilerini önlemek için şu uygulamaları izleyin:

• Erken yeniden oluşturma: Süre dolmadan en az 7 gün önce yeni bir PAT oluşturun, ardından eskisinin süresi dolmadan önce tüm tümleştirmeleri test edin ve güncelleştirin.
• İzlemeyi otomatikleştirme: Son kullanma tarihlerini program aracılığıyla denetlemek için PAT Yaşam Döngüsü Yönetimi API'lerini kullanın.
• PAT yaşam sürelerini aşamalı olarak belirleyin: Tüm PAT'larınızın aynı gün süresi dolmasına izin vermeyin. Bunları farklı zamanlamalarda üç ayda bir döndürün.
• Belge PAT kullanımı: Döndürme sırasında güncelleştirebilmeniz için her PAT'nin nerede kullanıldığının listesini (işlem hattı, betik, tümleştirme) koruyun.

PAT'nin süresi beklenmedik bir şekilde dolarsa

Kimlik doğrulama başarısız olursa, sorunu şu şekilde giderebilirsiniz:

1. Sorunu belirleyin: Kullanıcı ayarlarında Kişisel erişim belirteçleri sayfanızı gözden geçirerek PAT'nin süresinin dolduğunu denetleyin veya yöneticinizden denetim günlüğünü denetlemesini isteyin.
2. Değiştirme oluşturma: İzinleriniz izin verirse yeni bir PAT oluşturun (bkz. PAT oluşturma).
3. Tüm tümleştirmeleri güncelleştirme: Eski PAT'yi yenisiyle değiştirin:
   • Git yapılandırma dosyaları (.git/config)
   • Pipeline YAML dosyaları
   • Derleme etmenleri
   • Betikler ve entegrasyonlar
   • Ortam değişkenleri
4. Test bağlantısı: Yeni PAT'nin çalıştığını doğrulamak için bir test işlemi (örneğin, git cloneAPI çağrısı) çalıştırın.
5. Eski PAT'yi iptal etme: Güvenlik riskini azaltmak için hesabınızdan kaldırın.

Şirket içi senaryolar için

Azure DevOps Server’da PAT süre sonu davranışı aynıdır, ancak etkisi sunucunuz ve bağlı hizmetlerinizle sınırlıdır.

---

PAT rotasyon ve yenileme stratejisi

PAT'lerinizi düzenli olarak döndürmek, güvenliği aşılmış kimlik bilgileri riskini azaltır ve kurumsal güvenlik ilkelerine uymanıza yardımcı olur.

PAT'ler neden döndürülür?

• İhlal azaltma: Pat'in sızdırılması, gizliliğinin ihlal edilmesi veya çalınması durumunda kullanım ömrünün sınırlandırılması, pozlama penceresini azaltır.
• Uyumluluk: Birçok güvenlik standardı (SOC 2, ISO 27001, HIPAA) düzenli kimlik bilgisi döndürmesi gerektirir.
• Hijyen: Kullanılmayan veya unutulan belirteçleri kuruluşunuzdan kaldırır.
• Denetlenebilirlik: Sık döndürme, kimlik bilgisi değişikliklerinin net denetim izlerini oluşturur.

Önerilen döndürme temposu

Kısa ömürlü PT'leri zorunlu kılma ve PAT türüne ve risk profiline göre bir döndürme stratejisi oluşturma:

• Kişisel PAT'ler: Her 90 günde bir yenileyin (en az üç ayda bir).
• Hizmet hesabı PAT'leri: Hizmet kesintilerini önlemek için, mümkün olduğunda otomatik yenilemeyle 90 günde bir değiştirin.
• Ayrıcalıklı veya yüksek kapsamlı PAT'ler (örneğin, kritik altyapı için kullanılır): Güvenliği artırmak için 30 günde bir döndürün.
• İşten ayrılma: Bir ekip üyesi için aşağıdaki durumlardan herhangi biri gerçekleştiğinde PAT'leri derhal geçersiz kılın:
  • Sonlandırma veya ayrılma
  • Farklı bir takıma veya kuruluşa aktarma
  • Devamsızlık izni
  • Rol değişikliği veya sorumluluk değişimi

Uzun vadeli strateji: PAT'lerden daha güçlü kimlik doğrulamasına geçiş

Microsoft daha güçlü, daha denetlenebilir kimlik doğrulama yöntemleri yerine PAT kullanımının azaltılmasını önerir. Mümkünse şuna geçin:

• Microsoft Entra belirteçleri — Zaman sınırlı, yenileme özellikli, Entra ID aracılığıyla denetlenebilir
• Yönetilen kimlikler — Azure barındırılan hizmetler için (App Service, İşlevler, Container Apps)
• Hizmet sorumluları — Kiracılar arası veya Azure dışı senaryolar için
• Microsoft Entra ile OAuth 2.0 — Tarayıcı tabanlı tümleştirmeler ve üçüncü taraf uygulamalar için

Geçişin avantajları:

• Azaltılmış saldırı yüzeyi: Uzun ömürlü statik kimlik bilgilerini ortadan kaldırır
• Daha iyi denetlenebilirlik: Yerel Entra ID denetim günlükleri her kimlik doğrulamayı izler
• Otomatik yaşam döngüsü: Belirteçlerin süresi varsayılan olarak dolar; el ile döndürme gerekmez
• Koşullu Erişim desteği: Kuruluş genelinde güvenlik ilkeleri uygulama

Kimlik doğrulama alternatifleri hakkında daha fazla bilgi için bkz. Microsoft Entra kimlik doğrulaması ve Hizmet sorumluları ve yönetilen kimlikler.

Döndürme iş akışı

Pat'i hizmetleri kesintiye uğratmadan döndürmek için şu adımları izleyin:

1. Adım: Yeni PAT'yi oluşturma

1. Giriş sayfanızdan kullanıcı ayarlarını açın ve Kişisel erişim belirteçleri'ni seçin.
2. + Yeni Belirteç'i seçin.
3. Kolayca takip edebilmek için eski belirteçle aynı adı girin.
4. Süre sonunu bugünden itibaren 90 gün olarak ayarlayın.
5. Eski belirteçle tam olarak aynı kapsamları seçin.
6. Oluştur'u seçin ve yeni belirteci hemen kopyalayın (bir daha görüntülenmez).

2. Adım: Yeni PAT'yi test edin

Eski PAT'yi kullanımdan kaldırmadan önce yenisinin çalıştığını doğrulayın:

# For Git (replace with your URL and new PAT)
git clone https://<user>:<new-pat>@dev.azure.com/<org>/<project>/_git/<repo>

# For REST API
curl -u :<new-pat> https://dev.azure.com/<org>/_apis/projects

3. Adım: Tüm tümleştirmeleri güncelleştirme

Eski PAT kullanan her hizmet veya araç için:

Integration	Update Yöntemi
Git kimlik bilgileri	.git/config veya Git Credential Manager'ı güncelleyin
İşlem Hattı YAML'si	Hizmet bağlantısını veya değişken başvurusunu güncelleştirme
Betik/araç	Yapılandırma dosyasını veya ortam değişkenlerini güncelleştirme
Azure Artifacts	nuget.config, .npmrc veya kimlik bilgisi sağlayıcısını güncelleştirin
Derleme Temsilcisi	Web kullanıcı arabirimi aracılığıyla aracı yapılandırmasını güncelleştirme

Örnek: İşlem hattı değişkenlerini güncelleştirme

# Before
- script: npm install
  env:
    NPM_TOKEN: $(old-pat-variable)

# After
- script: npm install
  env:
    NPM_TOKEN: $(new-pat-variable)

4. Adım: İşlevselliği doğrulama

Her tümleştirmeyi güncelleştirdikten sonra test edin:

• İşlem hattı işi çalıştırma.
• Betiği manuel olarak yürütün.
• Git işlemini deneyin.
• API çağrılarını denetleyin.

5. Adım: Eski PAT'yi iptal etme

Tümleştirmeler güncelleştirildikten ve test edildikten sonra eski PAT'yi iptal edin:

1. Giriş sayfanızdan kullanıcı ayarlarını açın ve Kişisel erişim belirteçleri'ni seçin.
2. Eski PAT'yi seçin.
3. İptal Et'i seçin ve onaylayın.

Rotasyon senaryosu: Bir ekip üyesinin ayrılışı

Ekip üyesi ayrıldığında:

1. Anında eylem (kalkış günü):

   • Yönetici, Kuruluş Ayarları > Güvenlik > Kişisel erişim belirteçlerinden tüm PAT'lerini iptal eder
   • Yönetici, bu kullanıcı tarafından oluşturulan tüm PAT'ler için denetim günlüğünü denetler
   • PAT’ini kullanan herhangi bir hizmet hemen bozulur (beklendiği gibi)

2. 1 hafta içinde:

   • Bu kişinin PAT’ini kullanan ekipler, paylaşılan bir hizmet hesabına veya yeni bir PAT’e geçmelidir
   • Tüm betikleri, işlem hatlarını ve tümleştirmeleri güncelleştirme

3. Devam ediyor:

   • Yalnız bırakılmış PAT'ler için denetim günlüklerini haftalık olarak gözden geçirme

PAT Yaşam Döngüsü Yönetimi API'siyle döndürmeyi otomatikleştirme

Büyük ölçekli dağıtımlar için, PAT'leri program aracılığıyla döndürün:

import requests
from datetime import datetime, timedelta

# 1. Get PAT metadata (using Entra token)
org_url = "https://dev.azure.com/myorg"
entra_token = "YOUR_ENTRA_TOKEN"

response = requests.get(
    f"{org_url}/_apis/tokens/pats",
    headers={"Authorization": f"Bearer {entra_token}"},
    params={"api-version": "7.1-preview.1"}
)
pats = response.json()["value"]

# 2. Find PATs expiring in 7 days
expiring_soon = [
    pat for pat in pats 
    if (datetime.fromisoformat(pat["expiresOn"].replace("Z", "+00:00")) 
        - datetime.now().astimezone()).days <= 7
]

# 3. Create new PATs for expiring ones
for old_pat in expiring_soon:
    new_pat_payload = {
        "displayName": old_pat["displayName"],
        "scope": old_pat["scope"],
        "targetAccounts": old_pat["targetAccounts"],
        "validFrom": datetime.now().isoformat(),
        "validTo": (datetime.now() + timedelta(days=90)).isoformat(),
    }
    
    # Create new PAT
    new_response = requests.post(
        f"{org_url}/_apis/tokens/pats",
        json=new_pat_payload,
        headers={"Authorization": f"Bearer {entra_token}"},
        params={"api-version": "7.1-preview.1"}
    )
    new_pat = new_response.json()
    print(f"Created new PAT: {new_pat['patToken']} (save securely)")
    
    # TODO: Update integrations with new PAT
    # TODO: Test new PAT
    # TODO: Revoke old PAT after verification

print(f"\nRotated {len(expiring_soon)} PATs")

---

Denetim izi: PAT oluşturma ve iptali izleme

Kuruluş yöneticileri ve güvenlik ekipleri uyumluluk, sorun giderme ve tehdit algılama için PAT etkinliğini izlemelidir.

PAT denetim günlükleri nerede bulunur?

1. Kuruluşunuza gidin: https://dev.azure.com/<org>
2. Kuruluş ayarları'nı seçin.
3. Denetim günlüğü'nü seçin.
4. PAT olaylarını bulmak için filtreleri kullanın.

PAT olayları için filtreleme

Denetim günlüğünde PAT ile ilgili etkinlikleri filtreleyin:

Olay Türü	Description	Gösterir
PatCreated	Yeni bir PAT oluşturuldu	Yeni kimlik bilgisi verildi
PatModified	PAT'nin kapsamı veya süre sonu değiştirildi	Kimlik bilgileri güncelleştirildi veya yenilendi
PatRegenerated	Mevcut PAT yeniden yenilendi (rotasyona tabi tutuldu)	Eski belirteç geçersiz kılındı, yenisi verildi
PatRevoked	PAT iptal edildi	Kimlik bilgisi geçersiz kılındı (anında etki)
PatInactiveRevoked	Bir PAT, etkinlik olmadığından otomatik olarak geçersiz kılındı	Geçerliliğini yitirmiş kimlik bilgileri kaldırıldı

Denetim günlüğü girdilerini okuma

Her denetim günlüğü girdisi şunları içerir:

• Zaman damgası: Eylemin gerçekleştiği zaman
• Kullanıcı: Eylemi gerçekleştiren kişi (veya otomatik iptal için "Sistem")
• Olay: PAT eyleminin türü
• Ayrıntılar: Etkilenen PAT kimliği, kapsam, kuruluş (varsa)
• IP Adresi: Eylemin kaynağı (tehdit araştırması için)

Denetim günlüğü saklama

• Azure DevOps Hizmetleri: Denetim günlükleri varsayılan olarak 90 gün boyunca korunur (yöneticiler bu ayarı yapılandırabilir)
• Azure DevOps Server: Bekletme ilkesi, SQL Server yapılandırmanıza göre değişir (genellikle 1-2 yıl)

Örnek: Yalnız bırakılmış PAT'yi araştırma

Hala etkin olan ancak olmaması gereken eski bir PAT bulduğunuzu varsayalım:

1. Etkin belirteçler listenizdeki PAT kimliğini not edin.
2. Denetim günlüğündePatCreated bu kimlikle ilgili olayları arayın.
3. Oluşturma girdisini gözden geçirin: Kim oluşturdu, ne zaman, hangi kuruluş.
4. Kullanımı kontrol edin: PatModified veya PatRegenerated olayları varsa, belirteç aktif olarak kullanılıyordu.
5. İptal olup olmadığını denetleyin: Olay yoksa PatRevoked PAT hala geçerlidir.
6. İşlem yapın: Artık gerekli değilse PAT'yi iptal edin veya sahibine döndürmesini bildirin.

Denetim izleme için en iyi yöntemler

• PAT olaylarını her ay gözden geçirin: Sahipsiz veya şüpheli belirteçleri tanımlayın.
• Uyarı ayarlayın: Kuruluşunuz Azure İzleyici kullanıyorsa, PatCreated veya PatRevoked olayları için uyarı oluşturun.
• Bekletme ilkeleriyle uyumluluk: Uyumluluk gereksinimlerinize göre denetim günlüklerini dışarı aktarın ve arşivleyin.
• Kullanıcıya göre izleme: En çok PAT oluşturan kullanıcıları izleyin (riskli uygulamaları gösterebilir).
• Anomalileri araştırma:
  • İş saatleri dışında beklenmeyen PatCreated olaylar.
  • Aynı kullanıcı için birden çok PatRevoked olay (olası hesap ihlali).
  • PatCreated olağan dışı IP adreslerinden.

Denetim günlüklerine programlı erişim (REST API)

Yöneticiler REST API aracılığıyla denetim günlüğünü sorgulayabilir:

# List recent audit log events (last 10)
curl -u :<entra-token> \
  "https://dev.azure.com/<org>/_apis/audit/auditlog?api-version=7.1-preview.1" \
  | jq '.value[] | select(.eventType | contains("Pat"))'

---

Kuruluş PAT süre sonu ilkeleri

Kuruluş yöneticileri, fazla geniş kapsamlı erişimi önlemek için en düşük PAT kullanım ömrünü zorunlu kılabilir ve belirteç oluşturmayı kısıtlayabilir. Bu ilkeler, güvenlik standartlarına uyumluluğu güvence altına alır ve uzun süreli güvenliği aşılmış kimlik bilgileri riskini azaltır.

1. Kuruluş Ayarları>İlkeler (veya Güvenlik>Kişisel erişim belirteçleri) bölümüne gidin.
2. Şu ayarları seçin:
   • Tam kapsamlı PAT kısıtlamaları: Kullanıcıların kuruluşa tam erişimle belirteç oluşturmasını kısıtlayın.
   • Genel PAT kısıtlamaları: Kullanıcıların birden çok kuruluşa erişen belirteçler oluşturmalarını kısıtlayın.
   • Belirteç ömrü kısıtlamaları: En uzun PAT ömrünü ayarlayın (örneğin, 90 günden uzun süren belirteçler yoktur).

Daha fazla bilgi için bkz . Yöneticiler için ilkelerle PAT'leri yönetme.

---

PAT Yaşam Döngüsü Yönetimi API'leri

PAT Yaşam Döngüsü Yönetimi API'leri, kullanıcı arabirimi aracılığıyla büyük hacimli belirteçlerin bakımı sürdürülemez hale geldiğinde yardımcı olabilir. PAT rotasyonunun program aracılığıyla yönetilmesi, PTS'leri düzenli olarak döndürme ve varsayılan kullanım sürelerini kısaltma fırsatı da açar. örnek Python uygulamasını Microsoft Entra kiracınızla ve Azure DevOps kuruluşunuzla yapılandırabilirsiniz.

Bu API'ler hakkında dikkate alacağım bazı noktalar:

• Microsoft Entra erişim belirteçleri bu API'ye erişmek için gereklidir. Yeni tokenlar oluştururken daha güçlü bir kimlik doğrulama biçimi kullanın.
• Yalnızca "kullanıcı adına" akışı kullanan kullanıcılar veya uygulamalar PAT oluşturabilir. "Microsoft Entra erişim belirteçlerini sunmayan kimlik doğrulama akışlarını veya "uygulama adına" akışlarını kullanan uygulamalar bu API ile kullanım için geçerli değildir." Bu nedenle hizmet sorumluları veya yönetilen kimlikler , PAT oluşturamaz veya yönetemez.
• Daha önce PAT Yaşam Döngüsü Yönetimi API'leri yalnızca user_impersonation kapsamı destekliyordu, ancak şimdi vso.pats kapsam kullanılabilir ve bu API'lerle kullanılması önerilen kapsamdır. Daha önce bu API'leri çağırmak için user_impersonation'yi kullanan tüm uygulamaların kapsamını daraltın.

PAT yönetimi için Azure CLI kullanma

az devops CLI, özel betikler yazmadan PAT'leri yönetmek için komutlar sağlar. CLI başvurusunun tamamı için bkz. AZURE DEVOPS CLI ve PAT aracılığıyla oturum açma.

# List all your PATs
az devops user list

# Create a new PAT with limited scope
az devops token list \
  --organization https://dev.azure.com/myorg \
  --user <user-id>

# Example: Using az devops commands in a rotation script
# Sign in with Entra token (recommended)
az login --use-device-code

# List organization members (for bulk admin operations)
az devops security group membership list \
  --organization https://dev.azure.com/myorg \
  --group-id <admin-group-id>

Otomatik döndürme için REST API'yi kullanma

Büyük ölçekli PAT yönetimi için REST API uç noktalarını kullanın.

# List all PATs for a user (requires Entra token)
curl -X GET \
  -H "Authorization: Bearer <entra-token>" \
  "https://dev.azure.com/<org>/_apis/tokens/pats?api-version=7.1-preview.1"

# Create a new PAT
curl -X POST \
  -H "Authorization: Bearer <entra-token>" \
  -H "Content-Type: application/json" \
  -d '{
    "displayName": "CI/CD PAT",
    "scope": "vso.build vso.release_manage vso.code_write",
    "validTo": "2026-10-07T00:00:00.000Z"
  }' \
  "https://dev.azure.com/<org>/_apis/tokens/pats?api-version=7.1-preview.1"

# Revoke a PAT by ID
curl -X DELETE \
  -H "Authorization: Bearer <entra-token>" \
  "https://dev.azure.com/<org>/_apis/tokens/pats/<pat-id>?api-version=7.1-preview.1"

PAT biçimi

PAT dizeleri, sızdırılan PAT algılama araçları ve iş ortağı teklifleri için gizli dizilerin algılanmasını iyileştirmek amacıyla tasarlanmış özel bir biçim kullanır. Biçimi, hatalı pozitif algılama oranını geliştiren ve algılanan sızıntıların daha hızlı azaltılmasını sağlayan tanımlanabilir bitler içerir.

• Belirteçler 84 karakter uzunluğundadır ve 52 karakter rastgele verilerdir ve bu da genel entropiyi geliştirir. Tokenlar deneme yanılma saldırılarına karşı dayanıklıdır.
• Azure DevOps tarafından verilen belirteçler, 76-80 konumlarında sabit bir AZDO imzası içerir.

PAT'lerle tümleştirdiyseniz ve PAT doğrulaması yerleşikse, doğrulama kodunuzun 84 karakterlik belirteç uzunluğuna uygun olduğundan emin olun.

PAT'leri kullanmak için en iyi yöntemler

Alternatifleri göz önünde bulundurun

• Daha uzun ömürlü bir PAT oluşturmak yerine planlanmamış istekler için Azure CLI aracılığıyla bir Microsoft Entra belirteci alın.
• Kimlik bilgisi yönetimini basitleştirmek için Git Credential Manager veya Azure Artifacts Credential Manager gibi kimlik bilgileri yöneticilerini kullanın; kimlik doğrulaması oauth veya Microsoft Entra belirteçleri olarak ayarlanır.

PAT oluşturma

• Kişisel verileri PAT adına koymayın. PAT adını gerçek PAT belirtecinin bir kısmını veya tamamını içerecek şekilde yeniden adlandırmayın.
• Tüm kuruluşlarda gerekli olmadıkça genel PAT oluşturmaktan kaçının.
• Akış veya kullanım örneği başına farklı bir belirteç kullanın.
• Yalnızca her PAT için gereken en düşük kapsamları seçin. Özel göreviniz için gereken en düşük ayrıcalığı verin. Tek, geniş kapsamlı bir belirteç kullanmak yerine farklı iş akışları için sınırlı kapsamlara sahip ayrı PAT'ler oluşturun. PAT'nizin salt okunur izinlere ihtiyacı varsa, gerekli olana kadar yazma izinleri sağlamayın.
• PAT yaşam sürelerini kısa tutun.

PAT'leri yönetme

• PAT'lerinizi paylaşmayın!
• PT'lerinizi Azure Key Vault gibi güvenli bir anahtar yönetimi çözümünde depolar.
• KULLANıCı arabirimi aracılığıyla veya PAT Yaşam Döngüsü Yönetimi API'lerini kullanarak PAT'lerinizi düzenli olarak döndürün veya yeniden oluşturun.
• Artık gerekli olmadığında, PAT'leri iptal edin.

Yöneticiler için

• Kiracı yöneticilerinin şunları kısıtlayan ilkeler ayarlaması gerekir:
  • Genel PAT oluşturma (kuruluş kapsamına sahip belirteçler gerektirir)
  • Tam kapsamlı PAT oluşturma (sınırlı kapsamlar gerektirir)
  • Uzun süreli PAT süresi (azami kullanım süresini 30–90 gün olarak zorunlu kılma)
• Kiracı yöneticileri, PAT ele geçirilirse kuruluşlarının kullanıcıları için PAT'leri iptal edebilir.
• Kuruluş yöneticileri bir kuruluşta PAT oluşturmayı kısıtlamalı ve mümkün olduğunda hizmetleri PTS yerine Microsoft Entra kimlik doğrulamasına geçirmelidir.

Yönetici denetimi kılavuzu: Kuruluşunuzdaki tüm PAT'leri yönetme

Kuruluş yöneticileri, güvenlik ilkelerini zorunlu kılmak ve riskli belirteçleri tanımlamak için tüm kuruluş genelindeki tüm PAT'leri denetleyebilir ve yönetebilir.

1. Adım: Kuruluş PAT yönetim sayfasına erişme

1. Kuruluş Ayarları>Güvenlik>Kişisel erişim belirteçleri'ne gidin
2. Varsayılan olarak kendi PAT'lerinizi görürsünüz
3. Tüm kullanıcılar genelinde belirteçleri görüntülemek için açılan listeden Tüm PAT'ler'i seçin

2. Adım: Yüksek riskli belirteçleri filtreleme ve tanımlama

Şunu arayın:

• Uzun süreli belirteçler (süre sonu > 90 gün): Döndürme veya iptal için adaylar
• Tam kapsamlı belirteçler (kapsam = tümü): En yüksek güvenlik riski; kısıtlayıcı ilkeler uygulayın
• Genel belirteçler (birden çok kuruluşa erişim): Bu belirteçlerden kaçının; kuruluş kapsamındaki alternatifleri göz önünde bulundurun
• Güncelliğini yitirmiş belirteçler (yakın zamanda etkinlik yok): Güvenle iptal edilebilir
• İş saatleri dışında oluşturulan belirteçler: Olası güvenlik olayı

3. Adım: PAT olayları için denetim günlüğünü gözden geçirme

1. Kuruluş Ayarları>Denetim günlüğü'ne gidin
2. Olay türüne göre filtrele:
   • PatCreated — Belirteçlerin ne zaman verildiğini bulma
   • PatRevoked — Belirteçlerin ne zaman devre dışı bırakıldığını izleme
   • PatRegenerated — Döndürme etkinliğini izleme
3. Uyumluluk raporlaması için denetim günlüklerini dışarı aktarma (90 günlük saklama)

4. Adım: Güvenliği aşılmış veya kullanılmayan belirteçleri iptal etme

Güvenliği aşılmış veya gereksiz bir PAT bulursanız:

1. Kuruluş Ayarları>Güvenlik>Kişisel erişim belirteçleri'ne gidin
2. Tüm PAT'ları Seçin
3. İptal etmek istediğiniz PAT'yi seçin
4. İptal Et'i seçin ve onaylayın
5. Gerekirse belirteç sahibine yeni bir PAT oluşturmasını bildirin

5. Adım: Kuruluş ilkelerini zorunlu kılma

1. Kuruluş Ayarları>Politikalar bölümüne gidin
2. Ayarla
   • Tam kapsamlı PAT oluşturmayı kısıtla — Kapsamlı belirteçler gerektir
   • Genel PAT oluşturulmasını kısıtla — Kuruluş kapsamındaki belirteçleri zorunlu kıl
   • Pat yaşam süresi üst sınırını ayarlama — Örnek: Hiçbir belirteç 90 günü aşamaz
3. İlkenizi güvenlik el kitabınızda veya wiki'nizde belgele

Örnek: İşten ayrılma için toplu iptal

Kullanıcı ayrıldığında tüm PAT'lerini iptal edin:

1. Kuruluş Ayarları>Güvenlik>Kişisel erişim belirteçleri> gidin
2. Ayrılan kullanıcının adına veya e-posta adresine göre filtreleme
3. Onların tüm PAT'lerini seçin
4. İptal Et 'i (toplu işlem) seçin ve onaylayın

Tüm PAT'leri hemen iptal edilir ve herhangi bir hizmetin bu kimlik bilgilerini kullanmasını engeller.

SSS

Q. Tek bir organizasyon için kapsam belirlenmiş bir PAT'i neden düzenleyemiyorum veya yeniden oluşturamıyorum?

A. PAT'nizin kapsam dahilinde olduğu kuruluşta oturum açın. Access kapsamı filtresini değiştirerek aynı Microsoft Entra ID herhangi bir kuruluşta oturum açtığınızda, PAT'lerinizi görüntüleyebilirsiniz. Yalnızca belirli bir kuruluşta oturum açtığınızda kuruluş kapsamındaki belirteçleri düzenleyebilirsiniz.

Q. Bir kullanıcı hesabı devre dışı bırakılırsa PAT'ye ne olur?

A. Kullanıcı Azure DevOps kaldırıldığında PAT bir saat içinde geçersiz kılınmış olur. Kuruluşunuz Microsoft Entra ID bağlıysa, PAT kullanıcıya ait olduğu için Microsoft Entra ID'de de geçersiz kılınmış olur. Hizmetleri çalışır durumda tutmak için PAT'yi başka bir kullanıcı veya hizmet hesabına döndürün.

Q. TÜM Azure DevOps REST API'leriyle PAT kullanabilir miyim?

A. Hayır. ÇOĞU Azure DevOps REST API'si ile PTS kullanabilirsiniz, ancak organizasyon ve profil API'leri ve PAT Yönetimi Yaşam Döngüsü API'leri yalnızca Microsoft Entra belirteçlerini destekler.

Q. PAT'imi yanlışlıkla GitHub'daki bir genel depoya kontrol edersem ne olur?

A. Azure DevOps genel GitHub depolarında sızdırılan PAT'leri tarar. Azure DevOps algılandığında belirteç sahibine bildirir ve olayı denetim günlüğünüzde kaydeder. Devre dışı bırakılmadığı sürece, sızdırılan PAT'ler otomatik olarak iptal edilir. Daha fazla bilgi için bkz Sızdırılan PAT'leri otomatik olarak iptal etme.

Q. Dotnet/nuget.exe komut satırını kullanarak NuGet paketlerini bir Azure Artifacts akışında yayımlamak için api anahtarı olarak kişisel erişim belirteci kullanabilir miyim?

A. Hayır. Azure Artifacts, PAT'nin API anahtarı olarak geçirilmesini desteklemez. Yerel bir geliştirme ortamı kullandığınızda, Azure Artifacts kimlik doğrulaması yapmak için Azure Artifacts Kimlik Bilgisi Sağlayıcısı yükleyin. Daha fazla bilgi için aşağıdaki örneklere bakın: dotnet ve NuGet.exe. Paketlerinizi Azure Pipelines kullanarak yayımlamak istiyorsanız akışınızla kimlik doğrulaması yapmak için NuGet Authenticate görevini kullanın. Daha fazla bilgi için bkz. Azure Pipelines (YAML/Klasik) ile NuGet paketlerini yayımlama.

Q. PAT'im neden çalışmayı durdurdu?

A. PAT kimlik doğrulaması, tam kimlik doğrulama akışını kullanarak düzenli olarak Azure DevOps oturum açmanızı gerektirir. 30 günde bir oturum açmak birçok kullanıcı için yeterlidir, ancak Microsoft Entra yapılandırmanıza bağlı olarak daha sık oturum açmanız gerekebilir. PAT'niz çalışmayı durdurursa, önce kuruluşunuzda oturum açmayı ve tam kimlik doğrulama istemini tamamlayı deneyin. PAT'niz hala çalışmıyorsa süresinin dolduğunu denetleyin.

Azure DevOps Server için IIS Temel Kimlik Doğrulaması etkinleştirildiğinde PAT kullanımı geçersiz kılınıyor. IIS Temel Kimlik Doğrulaması'nın kapalı kalmasını sağlayın.

Q. Belirli bir kullanıcıya bağlı olmayan erişim belirteçlerini nasıl oluşturabilirim?

A. PAT'ler her zaman onları oluşturan kullanıcı kimliğiyle ilişkilendirilir. Belirli bir kullanıcıya bağlı olmayan belirteçleri kullanmak için uygulama hizmet sorumlusu veya yönetilen kimlik tarafından verilen Microsoft Entra belirteçleri kullanın. İşlem hatları için, hizmete özgü kimlik bilgileri olmadan kimlik doğrulaması yapmak için hizmet bağlantılarını kullanın. Azure DevOps genelinde PAT kullanımı azaltma hakkında daha fazla bilgi edinin.

Q. API aracılığıyla PAT'leri nasıl yeniden oluşturabilir veya döndürebilirim? Kullanıcı arabiriminde bu seçeneği gördüm, ancak API'de benzer bir yöntem görmüyorum.

A. Kullanıcı arabirimindeki Regenerate işlevi aslında bir API aracılığıyla çoğaltabileceğiniz çeşitli eylemler gerçekleştirir.

PAT'nizi döndürmek için şu adımları izleyin:

1. GET çağrısı kullanarak PAT meta verilerini alın.
2. Eski PAT kimliğiyle post çağrısı kullanarak yeni bir PAT oluşturun.
3. DELETE çağrısı kullanarak eski PAT'yi iptal edin .

Q. Süresi dolmuş, iptal edilmiş veya etkin olmayan pat Azure DevOps belirteci listesinde ne kadar süreyle görünür durumda kalır?

A. Süresi dolan veya iptal edilen PAT'leri kullanamaz veya yeniden oluşturamazsınız. Görüntü, bu etkin olmayan belirteçleri otomatik olarak kaldırmadan önce süre sonu veya iptal sonrasında birkaç ay görünür durumda tutar.

Q. PAT Yaşam Döngüsü Yönetimi API'lerini çağırmak için bir Microsoft Entra uygulaması kullanmaya çalıştığımda neden "Yönetici onayı gerekiyor" iletisi görüyorum?

A. Kiracınızın güvenlik ilkeleri, uygulamaların kuruluş kaynaklarına erişebilmesi için yönetici onayı gerektirir. Kiracı yöneticinize başvurun.

Kişisel erişim belirteçlerini yönetmek için yapay zeka kullanma

Azure DevOps MCP Sunucusunu yapılandırıyorsanız yapay zeka yardımcılarını kullanarak doğal dil istemlerini kullanarak kişisel erişim belirteçlerinizi yönetebilir ve gözden geçirebilirsiniz. MCP Sunucusu, yapay zeka yardımcınıza Azure DevOps verilerinize güvenli erişim sağlar; böylece web arabiriminde gezinmeden belirteçleri listeleyebilir, son kullanma tarihlerini denetleyebilir ve belirteç kapsamlarını gözden geçirebilirsiniz.

Kişisel erişim belirteçlerini yönetmeye yönelik örnek istemler

Görev	Örnek talimat
Minimum ayrıcalıklı bir belirteç oluşturun	Help me create a PAT for <organization-name> that only has read access to work items and code in the <project-name> project, valid for 30 days
Süresi dolan belirteçleri döndürme	Show me all my PATs in <organization-name> expiring in the next 14 days, their scopes, and what I need to update when I regenerate them
Jeton hijyenimi denetle	List all my active PATs in <organization-name>, when each was last used, and flag any that have broader scopes than necessary
Kimlik doğrulama hatalarını giderme	My PAT stopped working for Git push to <repo-name> in <project-name> - help me check if it expired, has the right scope, or if a policy is blocking it
Entra auth ile değiştirilecek belirteçleri bulma	Show me which of my PATs in <organization-name> are used for interactive scenarios that could switch to Microsoft Entra authentication instead
CI/CD hizmeti bağlantısı kurma	What's the minimum PAT scope needed for an Azure Pipelines service connection to <organization-name> that runs builds and deploys releases?

Tip

Visual Studio Code kullanıyorsanız, agent modu özellikle PAT'lerinizi gözden geçirip denetlemenize, yenilenmesi gereken veya kapsamları aşırı olan belirteçleri tanımlamanıza yardımcı olur.

• Önceki sorgulardan eski veya önbelleğe alınmış verileri kullanmaktan kaçınmak için isteminize Do not use previously fetched dataekleyin.

İlgili içerik

• Microsoft Entra iş yükü kimliğiyle Azure DevOps'a erişme
• Kullanıcı PAT'lerini iptal etme (yöneticiler için)
• Microsoft Entra belirteçleriyle kimlik doğrulaması yap