在 Azure Pipelines 中管理安全性

Azure DevOps Services | Azure DevOps Server 2022 - Azure DevOps Server 2019

Azure Pipelines 安全性可透過安全組和使用者的階層，控制管線及其資源的存取。 此系統會控管發行管線、工作組、代理程式集區和服務聯機等資源，但管線外部。 建立之後，管線和資源會從預先定義的安全組和用戶繼承專案層級許可權，並影響所有專案管線。

系統管理員通常具有不受限制的存取權、參與者監督資源，以及讀取者具有僅限檢視許可權，以及決定群組指派的使用者角色。 如需詳細資訊，請參閱 關於管線安全性角色。

必要條件

安全性區域	必要條件
管線安全性	- 若要管理專案集合群組，您必須是專案集合管理員群組的成員。 - 若要管理專案層級使用者和群組，您必須是系統管理員群組的成員，或被允許管理 組建許可權。
代理程式集區安全性	- 若要管理組織、集合或專案層級的代理程式集區安全性，您必須是 Project Collection Administrators 群組的成員，或具有代理程式集區的系統管理員角色。 - 若要管理物件層級的代理程式集區安全性，您必須擁有 代理程式集區的系統管理員 角色。
部署群組安全性	- 若要管理專案層級部署群組安全性，您必須是系統管理員群組的成員，或獲指派系統管理員角色。 - 若要管理個別部署群組的安全性，您必須獲指派系統管理員角色。
環境安全性	- 若要管理專案層級環境安全性，您必須是系統管理員群組的成員，或獲指派系統管理員角色。 - 若要管理個別環境的物件層級安全性，您必須獲指派系統管理員角色。
連結庫安全性	- 若要管理連結庫安全性，您必須是系統管理員群組的成員，或獲指派系統管理員角色。 - 若要管理個別連結庫資產的安全性，您必須是系統管理員或具有適當的角色。
發行管線安全性	- 若要管理發行管線安全性，您必須是系統管理員群組的成員，或被允許管理 發行許可權。 - 必須建立發行管線。
服務連線安全性	- 若要管理服務連線安全性，您必須是 Project Administrators 群組的成員，或具有系統管理員角色。 - 若要管理專案層級的安全性，您必須是專案管理員群組的成員，或具有服務連線的系統管理員角色。 - 若要管理物件層級的安全性，您必須具有 服務連線的系統管理員 角色。
工作組安全性	若要管理工作組安全性，您必須是系統管理員群組的成員，或是允許管理 工作組許可權。 - 工作組必須存在。

在 Azure Pipelines 中設定管線許可權

管線安全性遵循使用者權限和群組權限的階層式模型。 專案層級的許可權會由專案中的所有管線在物件層級繼承。 您可以變更專案和物件層級上所有管線的繼承和預設使用者和群組許可權。 您無法變更系統設定的許可權。

下表顯示管線的預設安全組：

群組	描述
組建管理員	管理組建許可權並管理管線和組建。
參與者	管理管線和組建，但不管理組建佇列。 此群組包含所有小組成員。
專案管理員	管理組建許可權並管理管線和組建。
讀取者	檢視管線和組建。
專案集合管理員	管理組建許可權並管理管線和組建。
專案集合組建管理員	管理組建許可權並管理管線和組建。
專案集合組建服務帳戶	管理組建。
專案集合測試服務帳戶	檢視管線和組建。

系統會自動建立<專案名稱> Build Service （集合名稱） 使用者，這是專案集合建置服務帳戶群組的成員。 此使用者會在專案內執行建置服務。

視您在管線中使用的資源而定，您的管線可能包含其他內建使用者。 例如，如果您使用原始程式碼的 GitHub 存放庫，則會包含 GitHub 使用者。

下表顯示安全組的預設權限：

Task	讀取者	參與者	建置系統管理員	Project Admins
檢視組建	✔️	✔️	✔️	✔️
檢視組建管線	✔️	✔️	✔️	✔️
管理組建許可權			✔️	✔️
建立組建管線		✔️	✔️	✔️
刪除或編輯組建管線		✔️	✔️	✔️
刪除或終結組建			✔️	✔️
編輯組建品質		✔️	✔️	✔️
管理組建品質			✔️	✔️
管理組件佇列			✔️	✔️
覆寫由組件所進行的簽入驗證				✔️
佇列組建		✔️	✔️	✔️
無限期保留	✔️	✔️	✔️	✔️
停止組建			✔️	✔️
更新組建資訊				✔️

如需管線許可權的描述，請參閱 管線或建置許可權。

設定專案層級管線權限

若要管理專案中所有組建管線的使用者和群組專案層級許可權，請執行下列步驟：

1. 從您的專案中，選取 [ 管線]。

   

2. 選取 [更多動作]，然後選取 [管理安全性]。

3. 選取使用者或群組，並將許可權設定為 [允許]、[拒絕] 或 [未設定]。

   

4. 重複上一個步驟，變更更多群組和用戶的許可權。

5. 關閉許可權對話框以儲存變更。

將使用者或群組新增至許可權對話方塊

若要新增權限對話框中未列出的使用者和群組，請執行下列步驟：

1. 在搜尋列中輸入使用者或群組，然後從搜尋結果中選取使用者或群組。
2. 設定許可權。
3. 關閉對話框。

當您再次開啟安全性對話框時，會列出使用者或群組。

從許可權對話框移除使用者或群組

若要從權限清單中移除使用者，請執行下列步驟：

1. 選取使用者或群組。

2. 選取 [ 移除並清除明確許可權]。

   

3. 完成時，請關閉對話框以儲存變更。

設定物件層級管線權限

根據預設，個別管線的物件層級許可權會繼承自專案層級許可權。 您可以覆寫繼承的項目層級許可權。

如果許可權未繼承，您可以將許可權設定為 [允許]、[拒絕] 或 [未設定]。 如果啟用繼承，您可以將明確設定的許可權變更回繼承的值。

若要管理管線的許可權，請執行下列步驟：

1. 從您的專案中，選取 [ 管線 ]。

   

2. 選取管線，然後選取 [更多動作]，然後選取 [管理安全性]。

   

3. 選取使用者或群組並設定許可權。

   

4. 重複上一個步驟，變更更多群組和用戶的許可權。

5. 當您完成時，請關閉對話框以儲存變更。

將使用者或群組新增至許可權對話方塊

若要新增權限對話框中未列出的使用者和群組，請執行下列步驟：

1. 在搜尋列中輸入使用者或群組，然後從搜尋結果中選取使用者或群組。
2. 設定許可權。
3. 關閉對話框。

當您再次開啟安全性對話框時，會列出使用者或群組。

從許可權對話框移除使用者或群組

除非停用繼承，否則無法移除繼承的使用者和群組。 若要從管線的許可權中移除使用者或群組，請執行下列步驟：

1. 選取使用者或群組。

2. 選取 [ 移除並清除明確許可權]。

   

3. 完成時，請關閉對話框以儲存變更。

在 Azure Pipelines 中設定部署群組安全性

部署群組是已安裝代理程式的實體或虛擬機集區。 部署群組僅適用於傳統發行管線。 您可以在下列情況下建立部署群組：

• 從組織部署集區為專案布建相依部署群組時
• 在專案層級建立部署群組時
• 當專案共用部署群組時，會在收件者專案中建立相依的部署群組

個別部署群組會從專案層級指派繼承安全性角色。 您可以覆寫使用者或群組的專案層級指派。 若要移除繼承的使用者或群組，或降低繼承角色的許可權等級，您必須 停用繼承。

當部署群組與其他項目共用時，會在其他專案中建立另一個繼承其安全性角色的個別部署群組。 如果已停用共用，則會從其他項目移除部署群組。

下表顯示部署群組的安全性角色：

角色	描述
讀取者	只能檢視部署群組。
建立者	可以建立部署群組。 此角色僅是專案層級角色。
使用者	可以檢視及使用部署群組。
服務帳戶	可以檢視代理程式、建立會話，以及接聽作業。 此角色僅限集合或組織層級角色。
系統管理員	可以管理、管理、檢視及使用部署群組。

下表顯示預設使用者和群組角色指派：

群組	角色
[項目名稱]\參與者	建立者（專案層級）、讀者（物件層級）
[項目名稱]\部署群組管理員	系統管理員
[項目名稱]\專案管理員	系統管理員
[項目名稱]\發行系統管理員	系統管理員

設定專案層級部署群組安全性角色

執行下列步驟來設定所有部署群組的專案層級安全性角色：

1. 從您的專案中，選取 [管線] 底下的 [部署群組]。

2. 選取安全性。

   

3. 設定使用者和群組的角色。

   

4. 若要移除使用者或群組，請選取使用者或群組，然後選取 [ 刪除 ]。

5. 選取 [儲存變更] 以儲存變更或 [重設變更] 以還原未儲存的變更。

執行下列步驟，以新增未列在安全性對話框中的項目使用者或群組：

1. 選取 [新增]。
2. 在搜尋列中輸入使用者或群組，然後從搜尋結果中選取使用者或群組。 您可以新增多個使用者和群組。
3. 選取 [ 角色]。
4. 選取 [新增] 以儲存變更。

設定物件層級部署群組安全性角色

執行下列步驟來設定個別部署群組的安全性角色：

1. 從您的專案中，選取 [管線] 底下的 [部署群組]。

2. 選取 [群組] 底下的部署群組。

3. 選取安全性。

   

4. 設定使用者和群組的角色。 若要降低繼承角色的許可權等級，請停用繼承。

   

5. 若要移除使用者或群組，請選取使用者或群組，然後選取 [ 刪除 ]。 除非停用繼承，否則無法移除繼承的使用者和群組。

6. 選取 [儲存變更] 以儲存變更或 [重設變更] 以還原未儲存的變更。

當您明確設定角色時，該使用者或群組的繼承會關閉。 若要停用所有使用者和群組的 繼承，請關閉 [繼承] 設定。 當您重新啟用繼承時，所有使用者和群組的角色會還原為其專案層級指派。

執行下列步驟，以新增未列在安全性對話框中的項目使用者或群組：

1. 選取 [新增]。
2. 在搜尋列中輸入使用者或群組，然後從搜尋結果中選取使用者或群組。 您可以新增多個使用者和群組。
3. 選取 [ 角色]。
4. 選取 [新增] 以儲存變更。

在 Azure Pipelines 設定環境的安全性

環境組合 YAML 管線的部署目標，但與傳統管線不相容。 所有環境都會繼承安全性角色，並在專案層級指派給預設使用者和群組。 您可以藉由停用繼承來自定義個別環境的這些設定，包括移除繼承的使用者或群組和調整許可權等級。 此外，您可以管理每個環境的管線存取。

下表顯示環境的安全性角色：

角色	描述
建立者	可以在專案中建立環境。 它只適用於專案層級安全性。 參與者會自動獲指派此角色。
讀取者	可以檢視環境。
使用者	可以在建立或編輯 YAML 管線時使用環境。
系統管理員	可以管理許可權、建立、管理、檢視和使用環境。 環境的建立者獲授與該環境的系統管理員角色。 系統管理員也可以針對專案中的所有管線開啟環境存取權。

下表顯示預設使用者和群組角色指派：

群組	角色
[項目名稱]\參與者	建立者 （項目層級） 讀者 （物件層級）
[項目名稱]\專案管理員	建立者
[項目名稱]\專案有效使用者	讀取者

建立環境的人員會自動獲得 該特定環境的系統管理員 角色。 此角色指派是永久的，無法變更。

設定專案層級環境安全性角色

若要設定所有環境的專案層級安全性角色，請執行下列步驟：

1. 從您的專案，在 [管線] 底下的環境。

2. 選取 [更多動作]，然後選取 [安全性]。

   

3. 將使用者和群組的角色設定為 Administrator、 Creator、 User 或 Reader。

   

4. 若要移除使用者或群組，請選取使用者或群組，然後選取 [ 刪除 ]。

5. 選取 [ 儲存 ] 以儲存變更或 復原 以還原未儲存的變更。

若要新增未列在安全性對話框中的項目使用者或群組，請執行下列步驟：

1. 選取 [新增]。
2. 在搜尋列中輸入使用者或群組，然後從搜尋結果中選取使用者或群組。 您可以新增多個使用者和群組。
3. 選取 [ 角色]。
4. 選取 [新增] 以儲存變更。

設定物件層級環境安全性

根據預設，物件層級安全性角色會繼承自專案層級設定。 但是，您可以針對個別環境自定義這些設定，包括藉由停用繼承來移除繼承的使用者或群組和調整許可權等級。 此外，您可以管理每個環境的管線存取。

設定物件層級環境使用者和群組安全性角色

若要設定環境的使用者和群組安全性角色，請執行下列步驟：

1. 從您的專案中，選取 [管線] 底下的 [環境]。

2. 選取環境。

3. 選取 [更多動作]，然後選取 [安全性]。

   

4. 將使用者和群組的角色設定為 [系統管理員]、 [使用者] 或 [讀取者]。

   

5. 若要移除使用者或群組，請選取使用者或群組，然後選取 [ 刪除 ]。 除非停用繼承，否則無法移除繼承的使用者和群組。

6. 選取 [ 儲存 ] 以儲存變更或 復原 以還原未儲存的變更。

明確為使用者或群組設定角色會停用其繼承。 若要停止每個人的繼承，請停用 [ 繼承] 選項。 重新啟用繼承會將所有使用者和群組重設為其原始專案層級角色指派。

若要新增未列在安全性對話框中的項目使用者或群組，請執行下列步驟：

1. 選取 [新增]。
2. 在搜尋列中輸入使用者或群組，然後從搜尋結果中選取使用者或群組。 您可以新增多個使用者和群組。
3. 選取 [ 角色]。
4. 選取 [新增] 以儲存變更。

設定環境的管線存取

管線許可權可以設定為 [開啟存取 ]，以允許存取專案中的所有管線，或限制特定管線的存取權。 只有 Project 系統管理員 可以將管線許可權設定為 [開啟存取]。

若要設定專案中所有管線的開啟存取權，請執行下列步驟：

1. 選取 [更多動作]，然後選取 [開啟存取]。

   

2. 在確認對話框中選取 [ 開啟存取 權]。

若要限制存取和管理管線存取，請執行下列步驟：

1. 選取 [ 限制存取]。

2. 選取 [新增管線]，然後從下拉功能表中選取管線。

3. 若要移除管線，請選取管線，然後選取 [ 撤銷存取 ] 圖示。

   

在 Azure Pipelines 中設定連結庫安全性

連結庫可跨組建和發行管線促進資產共用，例如變數群組和安全檔案。 它會採用統一的安全性模型，允許角色指派給資產管理、建立和使用方式。 這些角色一旦在連結庫層級設定，就會自動套用至所有自主資產，但可以個別調整。

角色	描述
系統管理員	編輯、刪除和管理連結庫資產的安全性。 資產的建立者會自動為資產指派此角色。
建立者	建立連結庫資產。
讀取者	讀取連結庫資產。
使用者	取用管線中的連結庫資產。

下表顯示預設角色：

群組	角色
[項目名稱]\專案管理員	系統管理員
[項目名稱]\建置系統管理員	系統管理員
[項目名稱]\專案有效使用者	讀取者
[項目名稱]\參與者	建立者 （項目層級） 讀者 （物件層級）
[項目名稱]\發行系統管理員	系統管理員
專案名稱 建置服務（集合或組織名稱）	讀取者

針對個別的連結庫資產，建立者會自動指派 系統管理員 角色。

設定專案層級連結庫安全性角色

若要管理所有連結庫資產的存取，例如 變數群組 和安全 檔案，請執行下列步驟：

1. 從您的專案中，選取 [管線連結>庫]。

   

2. 選取安全性。

   

3. 選取使用者或群組，並將角色變更為讀者、使用者、建立者或系統管理員。

   

4. 若要移除使用者或群組，請選取使用者或群組，然後選取 [ 刪除 ]。

5. 選取 [儲存變更] 以儲存變更或 [重設變更] 以還原未儲存的變更。

若要新增未列在安全性對話框中的項目使用者或群組，請執行下列步驟：

1. 選取 [新增]。
2. 在搜尋列中輸入使用者或群組，然後從搜尋結果中選取使用者或群組。 您可以新增多個使用者和群組。
3. 選取 [ 角色]。
4. 選取 [新增] 以儲存變更。

設定安全檔案安全性角色

安全檔案的安全性角色預設會繼承自專案層級連結庫角色指派。 您可以覆寫個別檔案的這些指派。 若要移除繼承的使用者或群組，或降低繼承角色的許可權等級，您必須停用繼承。

安全檔案的建立者會自動指派 該檔案的系統管理員 角色，而該檔案無法變更。

若要設定安全檔案的許可權，請執行下列步驟：

1. 從您的專案中，選取 [管線連結>庫]。
2. 選取 [ 保護檔案]。
3. 選取檔案。
4. 選取安全性。
5. 設定使用者和群組所需的角色。
6. 若要移除使用者或群組，請選取使用者或群組，然後選取 [ 刪除 ]。 除非停用繼承，否則無法移除繼承的使用者和群組。
7. 選取 [儲存變更] 以儲存變更或 [重設變更] 以還原未儲存的變更。

當您明確設定角色時，該使用者或群組的繼承會關閉。 若要停用所有使用者和群組的 繼承，請關閉 [繼承] 設定。 當您重新啟用繼承時，所有使用者和群組的角色會還原為其專案層級指派。

若要新增未列在安全性對話框中的項目使用者或群組，請執行下列步驟：

1. 選取 [新增]。
2. 在搜尋列中輸入使用者或群組，然後從搜尋結果中選取使用者或群組。 您可以新增多個使用者和群組。
3. 選取 [ 角色]。
4. 選取 [新增] 以儲存變更。

設定變數群組安全性角色

變數群組的安全性角色預設會繼承自專案層級連結庫角色指派。 您可以覆寫個別變數群組的這些指派。 若要移除繼承的使用者或群組，或降低繼承角色的許可權等級，您必須停用繼承。

變數群組的建立者會自動指派 該群組的系統管理員 角色，而該群組無法變更。

若要設定變數群組的存取權，請執行下列步驟：

1. 從您的專案中，選取 [管線連結>庫]。
2. 選取變數群組。
3. 選取安全性。
4. 設定使用者和群組所需的角色。
5. 若要移除使用者或群組，請選取使用者或群組，然後選取 [ 刪除 ]。 除非停用繼承，否則無法移除繼承的使用者和群組。
6. 選取 [儲存變更] 以儲存變更或 [重設變更] 以還原未儲存的變更。

當您明確設定角色時，該使用者或群組的繼承會關閉。 若要停用所有使用者和群組的 繼承，請關閉 [繼承] 設定。 當您重新啟用繼承時，所有使用者和群組的角色會還原為其專案層級指派。

若要新增未列在安全性對話框中的項目使用者或群組，請執行下列步驟：

1. 選取 [新增]。
2. 在搜尋列中輸入使用者或群組，然後從搜尋結果中選取使用者或群組。 您可以新增多個使用者和群組。
3. 選取 [ 角色]。
4. 選取 [新增] 以儲存變更。

在 Azure Pipelines 中設定發行管線許可權

建立發行管線之後，您可以設定所有發行管線的專案層級許可權，以及個別發行管線和階段的物件層級許可權。 您也可以設定發行階段的許可權，這是繼承自物件層級發行管線許可權的許可權子集。

下表顯示發行管線的許可權階層：

• 專案層級發行管線許可權
• 物件層級發行管線許可權
• 物件層級階段許可權

下表顯示預設使用者和群組角色：

群組	角色
參與者	管理發行許可權以外的 所有許可權。
專案管理員	所有許可權。
讀者	可以檢視管線和發行。
釋放系統管理員	所有許可權。
專案集合管理員	所有許可權。
<專案名稱> 建置服務（<組織/集合名稱>）	可以檢視管線和發行。
專案集合組建伺服器 （<組織/集合名稱>）	可以檢視管線和發行。

如需許可權描述，請參閱 許可權和群組。

設定專案層級發行管線許可權

若要更新所有版本的許可權，請執行下列步驟：

1.從您的專案中，選取 [管線>發行]。

2. 選取檔案檢視示。

   

3. 選取 [ 所有管線] 資料夾。

   

4. 選取 [更多動作]，然後選取 [安全性]。

   

5. 選取使用者和群組，並變更其許可權。

   

6. 完成時，請關閉對話框以儲存變更。

將使用者或群組新增至許可權對話方塊

若要新增權限對話框中未列出的使用者和群組，請執行下列步驟：

1. 在搜尋列中輸入使用者或群組，然後從搜尋結果中選取使用者或群組。
2. 設定許可權。
3. 關閉對話框。

當您再次開啟安全性對話框時，會列出使用者或群組。

從許可權對話框移除使用者或群組

若要從權限清單中移除使用者，請執行下列步驟：

1. 從您的項目許可權頁面，選取使用者或群組。

2. 選取 [ 移除並清除明確許可權]。

   

3. 完成時，請關閉對話框以儲存變更。

設定物件層級發行管線許可權

根據預設，個別發行管線的物件層級許可權會繼承自專案層級發行管線許可權。 您可以覆寫特定發行管線的這些繼承許可權。

若要覆寫發行的許可權，請執行下列步驟：

1. 從您的專案中，選取 [管線>發行]。

2. 選取檔案檢視示 。

3. 選取您想要修改的發行管線，然後選取 [更多動作>安全性]。

   

4. 選取使用者或群組，將其許可權設定為 [允許]、[ 拒絕 ] 或 [ 未設定]。

   

5. 當您完成時，請關閉對話框以儲存變更。

當您明確設定繼承的使用者或群組許可權時，該特定許可權會停用繼承。 若要還原繼承，請將許可權設定為 [未設定]。 若要停用所有使用者和群組許可權的繼承，請關閉 [ 繼承] 設定。 重新啟用繼承之後，所有使用者和群組的許可權會還原為其專案層級設定。

將使用者或群組新增至許可權對話方塊

若要新增權限對話框中未列出的使用者和群組，請執行下列步驟：

1. 在搜尋列中輸入使用者或群組，然後從搜尋結果中選取使用者或群組。
2. 設定許可權。
3. 關閉對話框。

當您再次開啟安全性對話框時，會列出使用者或群組。

從許可權對話框移除使用者或群組

您可以從發行管線中移除使用者和群組。 除非停用繼承，否則無法移除繼承的使用者和群組。 若要移除使用者或群組的發行管線許可權，請執行下列步驟：

1. 選取使用者或群組。

2. 選取 [ 移除並清除明確許可權]。

   

3. 完成時，請關閉對話框以儲存變更。

設定發行階段許可權

階段許可權是繼承自物件層級發行管線許可權的許可權子集。

若要設定階段的許可權，請執行下列步驟：

1. 從您的專案中，選取 [管線>發行]。

2. 選取檔案檢視示 ，然後選取 [ 所有管線]。

3. 從 [所有管線] 選取您想要修改的發行管線

   

4. 選取您想要修改的階段。

5. 選取 [其他選項] 圖示，然後選取 [安全性]。

   

6. 若要新增許可權對話框中未列出的使用者或群組，請選取 [新增]，輸入使用者或群組，然後選取 [ 儲存變更]。

7. 選取使用者和群組，將其許可權設定為 [允許]、[ 拒絕 ] 或 [ 未設定]。

   

8. 選取 [ 儲存變更 ]，或者您可以選取 [復原變更 ] 來復原變更。 您必須先儲存變更以套用許可權，才能選取另一個使用者或群組。

9. 您可以選取更多使用者和群組來變更其許可權。

10. 若要移除使用者或群組，請選取使用者或群組，然後選取 [ 移除]。 除非停用繼承，否則無法移除繼承的使用者和群組。

11. 完成後，選取 [確定]。

當您明確設定繼承的使用者或群組許可權時，該特定許可權會停用繼承。 若要還原繼承，請將許可權設定為 [未設定]。 選取 [清除明確許可權 ]，將所有明確設定的許可權重設為其繼承的設定。 若要停用所有使用者和群組許可權的繼承，請關閉 [ 繼承] 設定。 重新啟用繼承之後，所有使用者和群組的許可權會還原為其專案層級設定。

在 Azure Pipelines 中設定服務連線安全性

服務連線可用來連線到外部和遠端服務。 您可以設定服務連線安全性，以進行：

• 項目：許可權是在物件層級設定。
• 管線：許可權是在物件層級設定。
• 使用者和群組：安全性角色是在專案和物件層級設定。

下表顯示服務連線角色：

角色	目的
讀取者	可以檢視服務連線。
使用者	可以在傳統和 YAML 組建和發行管線中使用服務連線。
建立者	可以在專案中建立服務連線。 此角色僅是專案層級角色。
系統管理員	可以使用服務連線，並管理其他使用者和群組的角色。

下表顯示服務連線的預設安全性角色：

群組	角色
[項目名稱]\端點管理員	系統管理員
[項目名稱]\Endpoint Creators	建立者

建立服務連線的用戶會自動為該服務連線指派系統管理員角色。

如需詳細資訊，請參閱 服務連線。

設定專案層級服務連線安全性角色

若要管理所有服務連線的安全性角色，請執行下列步驟：

1. 從您的專案中，選取 [項目設定]。

2. 選取 [管線] 底下的 [服務連線]。

3. 選取 [更多動作]，然後選取 [安全性]。

   

4. 若要變更角色，請選取使用者或群組，然後從下拉功能表中選取角色。

   

5. 若要移除使用者或群組，請選取使用者或群組，然後選取 [ 刪除 ]。

6. 選取 [ 儲存 ] 以儲存變更或 復原 以還原未儲存的變更。

若要新增未列在安全性對話框中的項目使用者或群組，請執行下列步驟：

1. 選取 [新增]。
2. 在搜尋列中輸入使用者或群組，然後從搜尋結果中選取使用者或群組。 您可以新增多個使用者和群組。
3. 選取 [ 角色]。
4. 選取 [新增] 以儲存變更。

設定物件層級服務連線安全性

您可以為服務連線設定使用者和群組的安全性角色，以及管線和專案存取。 個別服務連線預設會繼承使用者和群組的專案層級角色指派。

若要開啟個別服務連線的安全性對話框，請執行下列步驟：

1. 從您的專案中，選取 [項目設定]。
2. 選取 [管線] 底下的 [服務連線]。
3. 選取服務連線。
4. 選取 [更多動作]，然後選取 [安全性]。

設定使用者和群組的服務連線安全性角色

您可以覆寫使用者和群組的繼承角色。 必須停用繼承，才能移除繼承的使用者或群組，或降低繼承角色的許可權等級。

若要管理個別服務連線的安全性角色，請執行下列步驟：

1. 在 [安全性] 對話框的 [用戶權力] 區段中，選取 [專案] 以管理專案層級使用者和群組，或 [組織] 來管理組織或集合層級的使用者和群組。

   

2. 選取使用者和群組，並變更其角色。 若要降低繼承角色的許可權等級，必須停用繼承。

3. 若要移除使用者或群組，請選取使用者或群組，然後選取 [ 刪除 ]。 除非停用繼承，否則無法移除繼承的使用者和群組。

4. 選取 [ 儲存 ] 以儲存變更或 復原 以還原未儲存的變更。

當您明確設定角色時，該使用者或群組的繼承會關閉。 若要停用所有使用者和群組的 繼承，請關閉 [繼承] 設定。 當您重新啟用繼承時，所有使用者和群組的角色會還原為其專案層級指派。

若要新增安全性對話框中未列出的項目使用者或群組：

1. 選取 [新增]。
2. 在搜尋列中輸入使用者或群組，然後從搜尋結果中選取使用者或群組。 您可以新增多個使用者和群組。
3. 選取 [ 角色]。
4. 選取 [新增] 以儲存變更。

設定服務連線管線許可權

您可以將管線許可權設定為 [開啟存取]，允許所有管線使用服務連線，也可以限制特定管線的存取權。

當管線許可權設定為 [開啟存取] 時，您可以選取 [ 限制存取] 選項來限制存取 。

若要將管線新增至受限制的服務連線，請選取 [新增管線]，然後從下拉功能表中選取管線。

若要將服務連線從限制變更為開啟存取，請選取 [更多動作]，然後選取 [開啟存取]。

設定服務連線項目許可權

您可以跨多個專案共用服務連線。 項目許可權可控制哪些專案可以使用服務連線。 根據預設，服務連線不會與任何其他項目共用。

• 只有來自用戶權力的組織層級系統管理員才能與其他專案共用服務連線。
• 與專案共用服務連線的使用者至少必須具有目標專案中的 [建立服務連線] 許可權。
• 與專案共用服務連線的用戶會成為該服務連線的專案層級系統管理員。 專案層級繼承在目標項目中設定為 on。
• 服務連接名稱會附加專案名稱，而且可以在目標專案範圍中重新命名。
• 組織層級系統管理員可以從任何共享專案取消共用服務連線。

根據預設，存取會限製為目前的專案。 若要授與組織或集合中其他專案的存取權，請選取 [ 新增專案]。

如果您在許可權和服務連線時遇到問題，請參閱 針對 Azure Resource Manager 服務連線進行疑難解答。

在 Azure Pipelines 中設定工作組許可權

工作組的許可權會遵循階層式模型。 根據預設，所有工作組都會繼承專案層級的許可權。 建立工作組之後，您可以修改個別工作組的專案層級許可權和物件層級許可權。

下表顯示工作組的權限：

權限	描述
管理工作組許可權	可以將使用者或群組新增和移除至工作組安全性。
刪除工作組	可以刪除工作組。
編輯工作組	可以建立、修改或刪除工作組。

下表顯示安全組的預設權限：

Task	讀取者	參與者	建置系統管理員	Project Admins	發行系統管理員
管理工作組許可權			✔️	✔️	✔️
刪除工作組			✔️	✔️	✔️
編輯工作組		✔️	✔️	✔️	✔️

工作組的建立者具有工作組的所有許可權。

注意

YAML 管線不支援工作組，但樣本為 。 如需詳細資訊，請參閱 YAML 架構參考。

設定專案層級工作組許可權

若要設定專案層級工作組的許可權，請執行下列步驟：

1. 從您的專案中，選取 [管線>] [工作組]。

   

2. 選取安全性。

   

3. 選取使用者和群組，將其許可權設定為 [允許]、 [拒絕] 或 [ 未設定]。

   

4. 完成時，請關閉對話框以儲存變更。

將使用者或群組新增至許可權對話方塊

若要新增權限對話框中未列出的使用者和群組，請執行下列步驟：

1. 在搜尋列中輸入使用者或群組，然後從搜尋結果中選取使用者或群組。
2. 設定許可權。
3. 關閉對話框。

當您再次開啟安全性對話框時，會列出使用者或群組。

從許可權對話框移除使用者或群組

若要從許可權清單中移除使用者，請執行下列步驟：

1. 選取使用者或群組。

2. 選取 [ 移除並清除明確許可權]。

   

3. 完成時，請關閉對話框以儲存變更。

設定物件層級工作組許可權

若要設定個別工作組的許可權，請執行下列步驟：

1. 從您的專案中，選取 [管線>] [工作組]。

   

2. 選取工作組。

3. 選取 [更多命令]，然後選取 [安全性]。

4. 選取使用者和群組，將其許可權設定為 [允許]、 [拒絕] 或 [ 未設定]。

   

5. 完成時，請關閉對話框以儲存變更。

明確設定繼承使用者或群組的許可權時，該特定許可權會停用繼承。 將許可權變更為 [未設定 ] 以還原繼承。 若要停用所有使用者和群組許可權的繼承，請關閉 [ 繼承] 設定。 重新啟用繼承之後，所有許可權的設定都會還原為專案層級。

將使用者或群組新增至許可權對話方塊

若要新增權限對話框中未列出的使用者和群組，請執行下列步驟：

1. 在搜尋列中輸入使用者或群組，然後從搜尋結果中選取使用者或群組。
2. 設定許可權。
3. 關閉對話框。

當您再次開啟安全性對話框時，會列出使用者或群組。

從許可權對話框移除使用者或群組

用戶可以從工作組中移除使用者和群組。 除非停用繼承，否則無法移除繼承的使用者和群組。

1. 選取使用者或群組。

2. 選取 [ 移除並清除明確許可權]。

   

3. 完成時，請關閉對話框以儲存變更。

在 Azure Pipelines 中設定代理程式集區安全性

代理程式集區是用來執行建置和發行作業的代理程式集合。

您可以使用組織範圍或項目範圍來建立代理程式集區。 組織範圍的代理程式集區可供組織中的所有現有或新專案存取，而且根據預設，每個組織都有兩個代理程式集區： Azure Pipelines 和 Default。 組織中的所有專案都可以存取這些預設集區。

專案範圍的代理程式集區是在專案層級建立，而且只能存取該專案。

從組織設定中，您可以管理組織中所有代理程式集區的組織層級安全性設定，以及針對個別的代理程式集區。 組織與專案層級安全性角色都可以從專案設定進行管理。

使用預先定義的安全性角色來管理 代理程式集區的安全性。

下表顯示代理程式集區的安全性角色：

角色	目的
讀者	可以檢視代理程式集區。
User	可以在傳統和 YAML 組建和發行管線中使用代理程式集區。
建立者	可以在專案中建立代理程式集區。 此角色僅是專案層級角色。
服務帳戶	可以檢視代理程式、建立會話，以及接聽代理程式集區中的作業。 此角色只會在組織/集合層級設定。
系統管理員	可以管理及使用代理程式集區，以及管理其他使用者和群組的角色。

下表顯示代理程式集區的預設項目和物件安全性角色：

群組	角色
[項目名稱]\專案管理員	系統管理員
[項目名稱]\建置系統管理員	系統管理員
[項目名稱]\專案有效使用者	讀取者
[項目名稱]\發行系統管理員	系統管理員
建立代理程式集區的使用者	系統管理員

將主體新增為使用者

您必須先在代理程式集區的安全性設定中新增主體，例如服務主體，請將它新增為組織中的使用者。

1. 移至 [ 組織設定]。
2. 選取使用者。
3. 新增具有基本存取或更高許可權的服務主體。

設定代理程式集區的組織安全性

您可以管理組織中所有代理程式集區的集合層級使用者和群組，或管理個別專案範圍的代理程式集區。 代理程式集區的安全性角色為 讀取者、 服務帳戶和 系統管理員。 組織 層級不提供使用者 和 建立者 角色。

設定所有代理程式集區的組織安全性

根據預設，組織層級的所有集區沒有任何使用者或群組具有明確的角色。 您可以新增組織層級的使用者和群組，以及管理組織中所有代理程式集區的安全性角色。

若要管理組織中所有代理程式集區的安全性角色，請執行下列步驟：

1. 將主體新增為使用者。

2. 移至 [組織設定]：，然後選取 [代理程序集區]。

3. 選取安全性。

   

4. 若要新增使用者和群組：

   1. 選取新增

   2. 輸入使用者或群組，然後從搜尋結果中選取它。

   3. 重複上一個步驟以新增更多使用者和群組。

   4. 選取角色，然後選取 [ 新增]

      

5. 若要從清單中移除使用者或群組，請選取使用者或群組，然後選取 [ 刪除 ]。

6. 若要變更安全性角色，請選取使用者或群組，然後從下拉式清單中選取角色。

7. 選取 [儲存變更] 以儲存變更或 [重設變更] 以還原未儲存的變更。

   

8. 關閉對話框。

設定個別代理程式集區的組織安全性

個別代理程式集區會繼承組織層級的安全性指派。 [ 預設 ] 和 [Azure Pipelines 代理程式集區] 包含 組織中每個專案的 [專案有效使用者 ] 群組。

在專案層級建立的代理程式集區會自動指派 [專案名稱>]\專案有效使用者群組和代理程式集<區的建立者。 無法刪除或修改建立者。 此處列出從專案設定新增的任何組織層級使用者和群組。

您可以新增和移除組織層級的使用者和群組，並設定個別代理程式集區的安全性角色。 此層級的安全性角色為 讀者、 服務帳戶和 系統管理員。

若要管理集合中所有代理程式集區的安全性角色，請執行下列步驟：

1. 移至 [組織設定]：，然後選取 [代理程序集區]。
2. 選取代理程式集區。
3. 選取安全性。
4. 若要新增使用者和群組：
   1. 選取新增
   2. 輸入使用者或群組，然後從搜尋結果中選取它。
   3. 重複上一個步驟以新增更多使用者和群組。
   4. 選取角色，然後選取 [ 新增]。
      
5. 若要移除使用者或群組，請選取使用者或群組，然後選取 [ 刪除 ]。
6. 若要變更安全性角色，請選取使用者或群組，然後從下拉式清單中選取角色。
7. 選取 [儲存變更] 以儲存變更或 [重設變更] 以還原未儲存的變更。
8. 關閉對話框。

設定專案層級代理程式集區安全性

若要設定所有代理程式集區的專案層級安全性角色，請執行下列步驟：

1. 從您的專案中，選取 [項目設定]，然後選取 [代理程式集區]。

2. 選取安全性。

   

3. 選取使用者或群組，並將角色設定為 [讀者]、[使用者]、[建立者] 或 [系統管理員]。

   

4. 若要移除使用者或群組，請選取使用者或群組，然後選取 [ 刪除 ]。

5. 選取 [儲存變更] 以儲存變更或 [重設變更] 以還原未儲存的變更。

若要新增安全性對話框中未列出的項目使用者或群組：

1. 選取 [新增]。

2. 在搜尋列中輸入使用者或群組，然後從搜尋結果中選取使用者或群組。 您可以新增多個使用者和群組。

3. 選取 [ 角色]。

4. 選取 [新增] 以儲存變更。

   

設定物件層級代理程式集區安全性

您可以覆寫專案層級的使用者和群組角色指派，並設定個別代理程式集區的管線許可權。 若要移除繼承的使用者或群組，或降低繼承角色的許可權等級，您必須停用繼承。

若要開啟安全性對話框：

1. 從您的專案中，選取 [項目設定]，然後選取 [代理程式集區]。

2. 選取代理程式集區。

3. 選取安全性。

設定個別代理程式集區的管線許可權

若要設定個別代理程式集區的管線許可權：

1. 選取 [ 限制許可權]。 只有在集區不限於特定管線時，才能使用此選項。

   

2. 選取 [新增管線]。

   

3. 從下拉功能表中選取您要新增至代理程式集區的管線。

若要開啟所有管線的存取權，請選取 [更多動作]，然後選取 [開啟存取]。

設定物件層級代理程式集區用戶權力

從安全性對話框的 [ 用戶權力] 區段：

1. 選取使用者或群組，並將角色設定為 讀者、 用戶或 系統管理員。

   

2. 若要移除使用者或群組，請選取使用者或群組，然後選取 [ 刪除 ]。 除非停用繼承，否則無法移除繼承的使用者和群組。

3. 選取 [儲存變更] 以儲存變更或 [重設變更] 以還原未儲存的變更。

當您明確設定角色時，該使用者或群組的繼承會關閉。 若要停用所有使用者和群組的 繼承，請關閉 [繼承] 設定。 當您重新啟用繼承時，所有使用者和群組的角色會還原為其專案層級指派。

若要新增未列在安全性對話框中的項目使用者或群組，請執行下列步驟：

1. 選取 [新增]。

2. 在搜尋列中輸入使用者或群組，然後從搜尋結果中選取使用者或群組。 您可以新增多個使用者和群組。

3. 選取 [ 角色]。

4. 選取 [新增] 以儲存變更。

   

相關文章

• 從許可權、存取權和安全組開始
• 檢閱預設許可權和存取權
• 請參閱許可權和群組
• 保護 Azure Pipelines
• 存取 Azure DevOps CLI 參考