İzinler ve güvenlik grupları hakkında

Azure DevOps Services | Azure DevOps Server | Azure DevOps Server 2022

Bu makalede Azure DevOps'ta devralma, güvenlik grupları, roller ve daha fazlası aracılığıyla erişim düzeyleri ve izinler hakkında bilgi ediniyorsunuz.

Varsayılan izinlere genel bakış için Varsayılan izinler hızlı başvurusu bölümüne bakın.

Daha fazla bilgi edinmek için bkz. Güvenliğe genel bakış.

Tavsiye

Azure DevOps görevlerine yardımcı olması için yapay zekayı kullanabilirsiniz. Başlamak için bkz. Azure DevOps MCP Sunucusu ile yapay zeka yardımlarını etkinleştirme .

Erişim düzeyleri

Tüm Azure DevOps kullanıcılarının belirli web portalı özelliklerine erişim veren veya bu özelliklere erişimi kısıtlayan bir erişim düzeyi vardır. Üç ana erişim düzeyi vardır: Paydaş, Temel ve Temel + Test Planları. Kullanıcıya Çevik portföy yönetimi veya test çalışması yönetimi özelliklerine erişim vermek için izinleri değil erişim düzeylerini değiştirin. Daha fazla bilgi için bkz . Erişim düzeyleri hakkında.

İzinler

Azure DevOps'taki tüm kullanıcılar bir veya daha fazla varsayılan güvenlik grubuna aittir. Özelliklere veya görevlere erişime izin veren veya erişimi reddeden güvenlik gruplarına izinler atayın.

• Üyeler, güvenlik gruplarına atanan izinleri devralır.
• İzinleri farklı düzeylerde tanımlayın: kuruluş/koleksiyon, proje veya nesne.
• Rol tabanlı atamalar (örneğin, ekip yöneticisi, uzantı yönetimi veya işlem hattı kaynak rolleri) aracılığıyla bazı izinleri yönetin.
• Yöneticiler, farklı işlevsel alanların izinlerini yönetmek için özel güvenlik grupları tanımlayabilir.

Azure DevOps'ta izinleri yönetmek için iki temel grup gerekir: Proje Koleksiyonu Yöneticileri ve Proje Yöneticileri.

Proje Koleksiyonu Yöneticileri:

• Bir kuruluş veya proje koleksiyonu içinde en yüksek yetkiye sahip olun.
• Koleksiyonun tamamı için tüm işlemleri gerçekleştirin.
• Kuruluşun ayarlarını, ilkelerini ve işlemlerini yönetin.
• Tüm projeleri ve uzantıları oluşturun ve yönetin.

Proje Yöneticileri:

• Proje düzeyinde çalışma.
• Web portalındaki Proje ayarlarından güvenlik gruplarını ve izinleri yönetin.
• Katkıda bulunanların proje içinde oluşturduğu belirli nesneler için izinleri işleyin.

İzin durumları

Erişim vermek veya kısıtlamak için izinler atayın:

Kullanıcı veya grubun izni var:

• İzin Ver
• İzin Ver (devralınmış)
• İzin Ver (sistem)

Kullanıcı veya grubun izni yok:

• Reddet
• Reddet (devralınmış)
• Reddet (sistem)
• Ayarlanmadı

İzin durumu	Açıklama
İzin ver	Kullanıcılara açıkça belirli görevleri gerçekleştirme olanağı verir ve grup üyeliğinden devralınmıyor.
İzin Ver (devralınmış)	Grup üyelerine belirli görevleri gerçekleştirme olanağı verir.
İzin Ver (sistem)	Kullanıcı izinlerinden öncelikli olan izinleri verir. Düzenlenemez ve kullanıcılar tarafından görülemeyen bir yapılandırma veritabanında depolanır.
Reddet	Kullanıcıların belirli görevleri gerçekleştirmesini açıkça kısıtlar ve grup üyeliğinden devralınmıyor. Çoğu grup ve neredeyse tüm izinler için Reddet, İzin Ver'in önüne geçer. Bir kullanıcı iki gruba aitse ve bunlardan biri Reddet olarak ayarlanmış belirli bir izne sahipse, bu izin iznine sahip bir gruba ait olsalar bile bu izni gerektiren görevleri gerçekleştiremez.
Reddet (miras alınan)	Grup üyelerinin belirli görevleri gerçekleştirmesini kısıtlar. Açık bir İzin Ver'i aşar.
Reddet (sistem)	Kullanıcı izinlerinden öncelikli olan izni kısıtlar. Düzenlenemez ve kullanıcılar tarafından görülemeyen bir yapılandırma veritabanında depolanır.
Ayarlanmadı	Kullanıcıların bu izni gerektiren görevleri gerçekleştirme yeteneğini örtük olarak reddeder, ancak bu izne sahip bir gruptaki üyeliğin öncelik kazanmasına izin verir. Bu, İzin ver (devralındı) veya Reddet (devralındı) olarak da bilinir.

Proje Koleksiyonu Yöneticileri veya Team Foundation Yöneticileri gruplarının üyeleri, başka bir grupta reddedilmiş olsa bile her zaman izin alabilir. Aşağıdaki örneklerde bu senaryo daha ayrıntılı açıklanmaktadır:

• Bir kullanıcı proje ayarlarına erişmeye veya kullanıcıları yönetmeye devam edebilir. Ancak, iş öğesi silme veya işlem hattı yönetimi gibi görevler için Proje Koleksiyonu Yöneticileri grubunun üyesi olmak, Başka bir yerde ayarlanan Reddetme izinlerini geçersiz kılmaz.
• Bir kullanıcıya belirli bir projedeki iş öğelerini silme izni reddedilirse, Proje Koleksiyonu Yöneticileri grubunun bir parçası olsalar bile iş öğelerini silemez. Benzer şekilde, işlem hattı izinleri reddedilirse, yönetim rollerine rağmen işlem hatlarını yönetemez veya çalıştıramaz.

Uyarı

Bir grubun iznini değiştirdiğinizde, bu grup içindeki tüm kullanıcıları etkiler. Tek bir izin değişikliği bile yüzlerce kullanıcıyı etkileyebilir, bu nedenle herhangi bir ayarlama yapmadan önce olası etkileri göz önünde bulundurun.

İzin devralma

İzinler bir hiyerarşiyi izler, böylece izinleri üst düğümden devralabilir veya geçersiz kılabilirsiniz.

Grup devralma:

• Kullanıcılar, ait oldukları gruplardan izinleri devralır.
• Bir kullanıcının doğrudan veya grup üyeliği aracılığıyla İzin Ver izni varsa ancak başka bir grup üzerinden reddetme izni de varsa, Reddetme izni önceliklidir.
• Proje Koleksiyonu Yöneticilerinin veya Team Foundation Yöneticilerinin üyeleri, bu izinleri reddeden diğer gruplara ait olsalar bile (iş öğesi işlemleri dışında) izin verilen izinlerin çoğunu korur.

Nesne düzeyinde devralma:

Alanlar, yinelemeler, sürüm denetimi klasörleri ve iş öğesi sorgu klasörleri gibi düğümlere nesne düzeyinde izinler atarsınız. Bu izinler hiyerarşide devralınır.

İzin devralma ve özgüllük kuralları:

• Açık izinler her zaman devralınan izinlere göre önceliklidir.
• Daha üst düzey bir düğümde ayarlanan izinler, açıkça geçersiz kılınmadığı sürece tüm alt düğümler tarafından devralınır.
• Bir alt düğüm için bir izne açıkça izin verilmemiş veya izin reddedilmemişse, izin üst öğesinden devralınır.
• Bir izin bir alt düğüm için açıkça ayarlandıysa, üst öğenin izni, izin verilmiş veya reddedilmiş olsun, devralınmaz.

Özgüllüğü:

Nesne hiyerarşisinde, özgüllük devralmayı aşıyor. Çakışan izinler varsa en özel izin önceliklidir.

Örnek:

• Üst düğümde açıkça Reddet (area-1).
• için açıkça area-1/sub-area-1 (alt düğüm).
• Bu durumda, kullanıcı üst düğümden devralınan Reddet'i geçersiz kılarak İzin Ver alır.

bir iznin neden devralınmış olduğunu anlamak için bir izin ayarının üzerinde durun ve neden? öğesini seçin. Güvenlik sayfasını açmak için bkz. İzinleri görüntüleme.

Not

Proje İzinleri ayarları sayfasının önizleme sayfasını etkinleştirmek için bkz. Önizleme özelliklerini etkinleştirme.

Önizleme sayfası

Bu iznin devralma bilgilerini gösteren yeni bir iletişim kutusu açılır.

Geçerli sayfa

Yeni bir pencere, bu iznin devralma bilgilerini gösterir.

Güvenlik grupları ve üyelik

Güvenlik grupları üyelerine belirli izinler atar.

Bir kuruluş, koleksiyon veya proje oluşturduğunuzda, Azure DevOps bir dizi varsayılan güvenlik grubu oluşturur ve bu gruplara otomatik olarak varsayılan izinler atar. Aşağıdaki eylemleri kullanarak daha fazla güvenlik grubu tanımlarsınız:

• Aşağıdaki düzeylerde özel güvenlik grupları oluşturma:
  • Proje düzeyi
  • Kuruluş veya koleksiyon düzeyi
  • Sunucu düzeyi (yalnızca şirket içi)
• Ekip ekleme, ekip güvenlik grubu oluşturma

Nesne düzeyinde bir güvenlik grubu oluşturamazsınız, ancak nesne düzeyine özel bir grup atayabilir ve bu düzeye izinler atayabilirsiniz. Daha fazla bilgi için bkz . Nesne düzeyinde izinleri ayarlama.

Varsayılan güvenlik grupları

Azure DevOps kullanıcılarının çoğu Katkıda Bulunanlar güvenlik grubuna eklenir ve Temel erişim düzeyi verilir. Katkıda Bulunanlar grubu depolara, iş izlemeye, işlem hatlarına ve daha fazlasına okuma ve yazma erişimi sağlar. Temel erişim, Azure Boards, Azure Repos, Azure Pipelines ve Azure Artifacts'i kullanmaya yönelik tüm özelliklere ve görevlere erişim sağlar. Azure Test Planlarına erişmesi gereken kullanıcıların Temel + Test Planları veya Gelişmiş erişime ihtiyaç duyar.

Aşağıdaki güvenlik grupları her proje ve kuruluş için varsayılan olarak tanımlanır. Kullanıcıları veya grupları genellikle Okuyucular, Katkıda Bulunanlar veya Proje Yöneticileri gruplarına eklersiniz.

Proje	Kuruluş veya Koleksiyon
- Yapı Yöneticileri -Katkıda bulunan - Proje Yöneticileri - Proje Geçerli Kullanıcıları - Okuyucular - Yayın Yöneticileri - TeamName Takımı	- Proje Koleksiyonu Yöneticileri - Proje Koleksiyonu Derleme Yöneticileri - Proje Koleksiyonu İnşa Hizmeti Hesapları - Proje Koleksiyonu Proxy Servisi Hesapları - Proje Koleksiyonu Hizmet Hesapları - Proje Koleksiyonu Test Hizmeti Hesapları - Proje Grubu Geçerli Kullanıcılar - Proje Kapsamındaki Kullanıcılar - Güvenlik Hizmeti Grubu

Bu grupların her birinin açıklaması için bkz . Güvenlik grupları, hizmet hesapları ve izinler. En yaygın varsayılan güvenlik gruplarına yapılan varsayılan izin atamaları için bkz . Varsayılan izinler ve erişim.

Proje düzeyindeki özellikleri yöneten kullanıcıları Proje Yöneticileri grubuna ekleyin. Bu özellikler arasında ekipler, alan ve yineleme yolları, depolar, hizmet kancaları ve hizmet uç noktaları bulunur.

Kuruluş veya koleksiyon düzeyindeki özellikleri yöneten kullanıcıları Proje Koleksiyonu Yöneticileri grubuna ekleyin. Bu özellikler projeler, ilkeler, süreçler, bekletme ilkeleri, aracı ve dağıtım havuzları ve uzantılar içerir. Daha fazla bilgi için bkz . Kullanıcı, ekip, proje ve kuruluş düzeyi ayarları hakkında.

Üyelik, izin ve erişim düzeyi yönetimi

Azure DevOps, birbirine bağlı şu üç işlevsel alan üzerinden erişimi denetler:

• Üyelik yönetimi tek tek kullanıcı hesaplarını ve grupları varsayılan güvenlik gruplarına eklemeyi destekler. Her varsayılan grup bir dizi varsayılan izinle ilişkilendirilmiştir. Herhangi bir güvenlik grubuna eklenen tüm kullanıcılar Geçerli Kullanıcılar grubuna eklenir. Geçerli kullanıcı bir projeye, koleksiyona veya kuruluşa bağlanabilen kişidir.
• İzin yönetimi sistemin farklı düzeylerindeki belirli işlevsel görevlere erişimi denetler. Nesne düzeyinde izinler bir dosya, klasör, derleme işlem hattı veya paylaşılan sorgu üzerinde izinleri ayarlar. İzin ayarları İzin Ver, Reddet, Devralınan izin ver, Devralınan reddet, Sistem izin ver, Sistem reddet ve Ayarlanmamış ayarlarına karşılık gelir.
• Erişim düzeyi yönetim , web portalı özelliklerine erişimi denetler. Kullanıcılar için satın alınanlara bağlı olarak, yöneticiler kullanıcının erişim düzeyini Paydaş, Temel, Temel + Test veya Visual Studio Enterprise (daha önce Gelişmiş) olarak ayarlar.

Her işlevsel alan, dağıtım genelinde yönetimi basitleştirmek için güvenlik gruplarını kullanır. Kullanıcıları ve grupları web yönetimi bağlamı aracılığıyla eklersiniz. İzinler, kullanıcıları eklediğiniz güvenlik grubuna göre otomatik olarak ayarlanır. ya da izinler, grupları eklediğiniz nesne, proje, koleksiyon veya sunucu düzeyine dayanır.

Güvenlik grubu üyeleri kullanıcıların, diğer grupların ve Microsoft Entra gruplarının bir birleşimi olabilir.

Active Directory ve Microsoft Entra güvenlik grupları

Tek tek kullanıcılar ekleyerek güvenlik gruplarını doldurabilirsiniz. Ancak, yönetim kolaylığı için, Azure DevOps Services ve Active Directory (AD) için Microsoft Entra Id veya Azure DevOps Server için Windows kullanıcı gruplarını kullanarak bu grupları doldurmak daha verimlidir. Bu yaklaşım, grup üyeliğini ve izinleri birden çok bilgisayarda daha etkili bir şekilde yönetmenizi sağlar.

Yalnızca küçük bir kullanıcı kümesini yönetmeniz gerekiyorsa bu adımı atlayabilirsiniz. Ancak, kuruluşunuzun büyüyebileceğini düşünüyorsanız Active Directory veya Microsoft Entra Id'yi ayarlamayı göz önünde bulundurun. Ayrıca, ek hizmetler kullanmayı planlıyorsanız Faturalamayı desteklemek için Microsoft Entra Id'yi Azure DevOps ile kullanmak üzere yapılandırmanız gerekir.

Not

Microsoft Entra Kimliği olmadan tüm Azure DevOps kullanıcılarının Microsoft hesaplarını kullanarak oturum açması ve hesap erişimini tek tek kullanıcı hesaplarıyla yönetmeniz gerekir. Hesap erişimini Microsoft hesaplarını kullanarak yönetseniz bile faturalamayı yönetmek için bir Azure aboneliği ayarlayın.

Microsoft Entra Id'yi Azure DevOps Services ile kullanılacak şekilde ayarlamak için bkz . Kuruluşunuzu Microsoft Entra Id'ye bağlama.

Kuruluşunuz Microsoft Entra Id'ye bağlandığında, güvenliği geliştirmek ve uygulamalara erişimi kolaylaştırmak için çeşitli kuruluş ilkeleri tanımlayabilir ve yönetebilirsiniz. Daha fazla bilgi için bkz . Güvenlik hakkında, Güvenlik ilkeleri.

Microsoft Entra Id ile kuruluş erişimini yönetmek için aşağıdaki makalelere bakın:

• Microsoft Entra ID'yi kullanarak kullanıcı ekleme veya silme
• Microsoft Entra ID ile erişim sorunlarını giderme

Azure DevOps, bu değişikliği izleyen bir saat içinde Microsoft Entra grubuna yapılan değişiklikleri Microsoft Entra Kimliği'ne kaydeder. Grup üyeliği aracılığıyla devralınan tüm izinler yenilenir. Azure DevOps'ta Microsoft Entra üyeliğinizi ve devralınan izinlerinizi yenilemek için oturumu kapatın ve sonra yeniden oturum açın veya izinlerinizi yeniden değerlendirmek için bir yenileme tetikleyin.

Geçerli kullanıcı grupları

Kullanıcı hesaplarını doğrudan bir güvenlik grubuna eklediğinizde, kullanıcılar otomatik olarak aşağıdaki geçerli kullanıcı gruplarından birinin parçası olur.

• Proje Koleksiyonu Geçerli Kullanıcılar: Kuruluş düzeyinde bir gruba eklenen tüm üyeler.
• Proje Geçerli Kullanıcıları: Proje düzeyi grubuna eklenen tüm üyeler.

Bu gruplara atanan varsayılan izinler öncelikli olarak Derleme kaynaklarını görüntüleme, Proje düzeyi bilgilerini görüntüleme ve Koleksiyon düzeyi bilgilerini görüntüleme gibi okuma erişimi sağlar.

Bir projeye eklediğiniz tüm kullanıcılar, bir koleksiyondaki diğer projelerdeki nesneleri görüntüleyebilir. Görünüm erişimini kısıtlamak için alan yolu düğümü aracılığıyla kısıtlamalar ayarlayabilirsiniz. Geçerli Kullanıcılar gruplarından birinin Örnek düzeyi bilgilerini görüntüleme iznini kaldırır veya reddederseniz, ayarladığınız gruba bağlı olarak grubun hiçbir üyesi projeye, koleksiyona veya dağıtıma erişemez.

Projeye özgü kullanıcı grubu

Varsayılan olarak, bir kuruluşa eklediğiniz kullanıcılar tüm kuruluş ve proje bilgilerini ve ayarlarını görüntüleyebilir. Bu ayarlar, kuruluş ayarları aracılığıyla erişebileceğiniz kullanıcı listesini, proje listesini, faturalama ayrıntılarını, kullanım verilerini ve daha fazlasını içerir.

Paydaşlar, Microsoft Entra konuk kullanıcıları veya belirli bir güvenlik grubunun üyeleri gibi belirli kullanıcıları kısıtlamak için, Kuruluşun belirli proje önizlemesi ile kullanıcı görünürlüğünü ve işbirliğini sınırla özelliğini etkinleştirebilirsiniz. Etkinleştirildikten sonra, Proje kapsamlı Kullanıcılar grubuna eklediğiniz herhangi bir kullanıcı veya grup, Genel Bakış ve Projeler dışında Kuruluş ayarları sayfalarına erişemez. Yalnızca eklediğiniz projelere erişebilirler.

Uyarı

Bu önizleme özelliğini kullanırken aşağıdaki sınırlamaları göz önünde bulundurun:

• Bu bölümde açıklanan sınırlı görünürlük özellikleri yalnızca web portalı üzerinden yapılan etkileşimler için geçerlidir. REST API'leri veya azure devops CLI komutlarıyla, proje üyeleri kısıtlanmış verilere erişebilir.
• Sınırlı gruptaki kullanıcılar yalnızca Açıkça Azure DevOps'a eklenen kullanıcıları seçebilir ve Microsoft Entra grup üyeliği aracılığıyla erişimi olan kullanıcıları seçemez.
• Microsoft Entra ID'de varsayılan erişime sahip sınırlı gruptaki konuk kullanıcılar, kişi seçiciyle kullanıcı arayamaz.

Daha fazla bilgi için bkz . Önizleme özelliklerini yönetme.

Not

Güvenlik grupları, belirli projeler için kullanilsalar bile kuruluş düzeyinde yönetilir. Kullanıcı izinlerine bağlı olarak, bazı gruplar web portalında gizlenmiş olabilir. Bir kuruluştaki tüm grup adlarını görüntülemek için Azure DevOps CLI aracını veya REST API'lerini kullanabilirsiniz. Daha fazla bilgi için Güvenlik gruplarını ekleme ve yönetme bölümüne bakın.

Rol tabanlı izinler

Rol tabanlı izinlerle, bir role kullanıcı hesapları veya güvenlik grupları atarsınız ve her rolün bir veya daha fazla izni olur. Aşağıdaki kaynaklar rol tabanlı izinleri destekler:

• Artefakt veya paket beslemesi güvenlik rolleri
• Pazaryeri Uzantı Yöneticisi rolü
• İşlem hattı güvenlik rolleri
• Ekip yöneticisi rolü

Daha fazla bilgi için İşlem hattı güvenlik rolleri hakkında bkz.

Aşağıdaki görüntüde proje ve koleksiyon düzeyinde tanımlanan güvenlik gruplarının nesnelere, projelere ve kuruluşa nasıl izin atayabileceği gösterilmektedir.

Proje Yöneticileri veya Proje Koleksiyonu Yöneticileri gruplarının üyeleri, tüm ekipler için tüm ekip araçlarını yönetir.

Önizleme özellikleri

Özellik bayrakları yeni özelliklere erişimi denetler. Azure DevOps, belirli aralıklarla bir özellik bayrağının arkasında yeni özellikler sunar. Proje üyeleri ve kuruluş sahipleri önizleme özelliklerini etkinleştirebilir veya devre dışı bırakabilir. Daha fazla bilgi için özellikleri yönetme veya etkinleştirme bölümüne bakın.

Sonraki adım

Varsayılan izinler ve erişim

İlgili içerik

• Erişim ve izin sorunlarını giderme
• Güvenlik, kimlik doğrulaması ve yetkilendirme hakkında bilgi edinin
• Başvuru izinleri ve grupları
• Güvenlik grupları ekleme ve yönetme