在服务挂钩中设置组的“查看”权限

Azure DevOps Services | Azure DevOps Server 2022 - Azure DevOps Server 2019

默认情况下，只有项目管理员具有 “查看 ”或 “编辑” 权限。 若要直接向其他用户授予这些权限，可以使用 命令行工具 或 安全 REST API。

安全ServiceHooks命名空间 ID 在“列出安全命名空间”下定义cb594ebe-87dd-4fc9-ac2c-6a10a4c92046

先决条件

1. 安装 Azure CLI 以运行 az devops 命令。 如何安装 Azure CLI

2. 为 Azure DevOps 配置文件创建个人访问令牌（PAT ）。 确保你是项目集合管理员（PCA）组的成员。

   • 标识（读取）
   • Graph （读取）
   • 安全性（管理）

3. 使用 az devops login. 登录 Azure DevOps。 如果没有 az devops 扩展，请安装它。

   > az devops login
   The command requires the extension azure-devops. Do you want to install it now? The command will continue to run after the extension is installed. (Y/n): Y
   

4. 可以将组织定义为默认组织。 否则，请为每个命令定义 --org "https://dev.azure.com/{organization}" 。

   az devops configure --defaults organization="https://dev.azure.com/{organization}"
   

5. 检查是否可以查看组织的权限列表。

   az devops security permission namespace list --org "https://dev.azure.com/{organization}"
   

读取组标识和权限令牌

1. 查找组标识描述符。

   > az devops security group list --project ac515e82-560c-4af8-845b-9f7f968d8e7b --output table
   
   Name                                             Descriptor
   -----------------------------------------------  --------------------------------------------------------------------------------------------------------------------------------------------------
   [TEAM FOUNDATION]\EntraServiceHooksRead          aadgp.Uy0xLTktMTU1MTM3NDI0NS0xMjA0NDAwOTY5LTI0MDI5ODY0MTMtMjE3OTQwODYxNi0zLTM5NTQxNzM3ODYtMTUyMTA4MTkyNS0yNTQwNTA4MjYzLTMzNDgxNjQxNjg
   

   如果要按组名称进行筛选，可以使用 findstr 或 grep 命令取决于命令提示符。

2. 获取权限令牌。

   > az devops security permission list --id cb594ebe-87dd-4fc9-ac2c-6a10a4c92046 --subject <Group or user descriptor> --output table
   
   Token                                                   Effective Allow    Effective Deny
   ------------------------------------------------------  -----------------  ----------------
   PublisherSecurity                                       0                  0
   PublisherSecurity/ac515e82-560c-4af8-845b-9f7f968d8e7b  0                  0
   

更新服务挂钩的读取权限

1. 可为其 --allow-bit定义的权限列表。

   • 查看订阅
   • 编辑订阅
   • 删除订阅
   • 发布事件

   > az devops security permission namespace show --id cb594ebe-87dd-4fc9-ac2c-6a10a4c92046
   
   [
     {
       "actions": [
         {
           "bit": 1,
           "displayName": "View Subscriptions",
           "name": "ViewSubscriptions",
           "namespaceId": "cb594ebe-87dd-4fc9-ac2c-6a10a4c92046"
         },
         {
           "bit": 2,
           "displayName": "Edit Subscription",
           "name": "EditSubscriptions",
           "namespaceId": "cb594ebe-87dd-4fc9-ac2c-6a10a4c92046"
         },
         {
           "bit": 4,
           "displayName": "Delete Subscriptions",
           "name": "DeleteSubscriptions",
           "namespaceId": "cb594ebe-87dd-4fc9-ac2c-6a10a4c92046"
         },
         {
           "bit": 8,
           "displayName": "Publish Events",
           "name": "PublishEvents",
           "namespaceId": "cb594ebe-87dd-4fc9-ac2c-6a10a4c92046"
         }
       ],
       "dataspaceCategory": "Default",
       "displayName": "ServiceHooks",
       "elementLength": -1,
       "extensionType": null,
       "isRemotable": true,
       "name": "ServiceHooks",
       "namespaceId": "cb594ebe-87dd-4fc9-ac2c-6a10a4c92046",
       "readPermission": 1,
       "separatorValue": "/",
       "structureValue": 1,
       "systemBitMask": 0,
       "useTokenTranslator": true,
       "writePermission": 7
     }
   

2. 设置 组的“视图 ”访问权限。 查看 ServiceHooks 订阅等于 1。--allow-bit

   > az devops security permission update --namespace-id cb594ebe-87dd-4fc9-ac2c-6a10a4c92046 --subject <Group or user descriptor> --token PublisherSecurity/ac515e82-560c-4af8-845b-9f7f968d8e7b --allow-bit 1
   
   [
     {
       "acesDictionary": {
         "Microsoft.TeamFoundation.Identity;S-1-9-1551374245-1204400969-2402986413-2179408616-3-3954173786-1521081925-2540508263-3348164168": {
           "allow": 1,
           "deny": 0,
           "descriptor": "Microsoft.TeamFoundation.Identity;S-1-9-1551374245-1204400969-2402986413-2179408616-3-3954173786-1521081925-2540508263-3348164168",
           "extendedInfo": {
             "effectiveAllow": 1
           },
           "resolvedPermissions": [
             {
               "bit": 1,
               "displayName": "View Subscriptions",
               "effectivePermission": "Allow",
               "name": "ViewSubscriptions"
             }
           ]
         }
       },
       "includeExtendedInfo": true,
       "inheritPermissions": true,
       "token": "PublisherSecurity/ac515e82-560c-4af8-845b-9f7f968d8e7b"
     }
   ]
   

3. 获取权限令牌以查看更改。

   > az devops security permission list --id cb594ebe-87dd-4fc9-ac2c-6a10a4c92046 --subject <Group or user descriptor> --output table
   
   Token                                                   Effective Allow    Effective Deny
   ------------------------------------------------------  -----------------  ----------------
   PublisherSecurity                                       0                  0
   PublisherSecurity/ac515e82-560c-4af8-845b-9f7f968d8e7b  1                  0
   

以下示例显示用户可以看到服务挂钩订阅。

重置组的所有服务挂钩权限

• 如果需要重置组或用户的所有服务挂钩权限，可以调用 reset-all。

  > az devops security permission reset-all --id cb594ebe-87dd-4fc9-ac2c-6a10a4c92046 --subject <Group or user descriptor> --token PublisherSecurity/ac515e82-560c-4af8-845b-9f7f968d8e7b
  
  Are you sure you want to reset all explicit permissions for this user/group and token? (y/n): Y
  true
  
  > az devops security permission list --id cb594ebe-87dd-4fc9-ac2c-6a10a4c92046 --subject <Group or user descriptor> --output table
  Token                                                   Effective Allow    Effective Deny
  ------------------------------------------------------  -----------------  ----------------
  PublisherSecurity                                       0                  0
  PublisherSecurity/ac515e82-560c-4af8-845b-9f7f968d8e7b  0                  0
  

• 以下示例显示用户在重置权限后无法查看服务挂钩订阅。