Einen Azure DevOps-Connector erstellen

Der Azure DevOps (ADO) Connector ist der empfohlene Onboarding-Weg für agentische Code-Sicherheit für Organisationen, die Azure DevOps als Quellcode-Managementplattform (SCM) nutzen. Sie ermöglicht es, Ihre Azure DevOps-Organisation und deren Repositories über einen einfachen Ablauf zu verbinden und einzubinden. Nach dem Onboarding Ihrer Repositorys können Sie für jedes integrierte Repository eine bedarfsgesteuerte agentische Remoteüberprüfung auslösen.

Voraussetzungen

Sie müssen alle folgenden Berechtigungen besitzen, um den Connector erfolgreich zu autorisieren oder neu zu autorisieren:

  • Zugriff auf das Microsoft Defender-Portal mit mindestens der Rolle Security Administrator in Microsoft Entra ID.
  • Die Rolle des Project Collection Administrator in jeder Azure DevOps-Organisation, die Sie verbinden möchten (Organisationseinstellungen>Sicherheit>Berechtigungen).
  • Die Zugriffsebene Basic oder Basic + Testpläne in jeder Azure DevOps-Organisation (Organisationseinstellungen>Benutzer). Das Stakeholder-Zugangsniveau ist nicht ausreichend.

Die Microsoft Defender Code App muss ebenfalls in Ihrem Tenant bereitgestellt sein. Sie können das Provisioning-Skript nur überspringen, wenn beide folgenden Bedingungen erfüllt sind:

  • Ihre Organisation hat eine Microsoft 365 E5-Lizenz. Die App wird während des MDASH-Onboardings automatisch bereitgestellt.
  • Der Azure DevOps-Organisationstenant ist derselbe wie der Defender-Tenant.

Ansonsten führe das Provisioning-Skript aus, bevor du den Azure DevOps-Connector erstellst. Weitere Informationen finden Sie im Microsoft Defender Code Script für den Azure DevOps Connector.

Note

Wenn dieselbe Azure DevOps-Organisation bereits über den Azure DevOps-Connector des Azure-Portals verbunden ist und Sie sie über das Defender-Portal verbinden möchten, trennen Sie zuerst den Azure-Portal-Connector.

Nachdem der Azure DevOps-Connector des Azure-Portals getrennt wurde, sind die mit diesem Connector verbundenen Microsoft Defender for DevOps-Sicherheitsfunktionen nicht mehr verfügbar. Informationen zu den betroffenen Funktionen finden Sie unter Support und Voraussetzungen.

Schritt 1: Vorbereiten Ihres Mandanten

Cloud Security muss im Tenant vorbereitet sein, bevor Sie auf den Ablauf zur Erstellung des Azure DevOps-Connectors zugreifen können.

Wenn Cloud Security bereits in Ihrem Defender Mandanten aktiviert wurde, ist keine Aktion erforderlich. Die Option Meinen Mandanten vorbereiten wird nicht angezeigt, und Sie können direkt mit der Erstellung des Connectors fortfahren.

Wenn der Mandant Cloud Security im Defender Portal nicht verwendet hat:

  1. Wechseln Sie zur Cloudsicherheitsübersicht>.
  2. Wählen Sie Meinen Mandanten vorbereiten aus.
  3. Bestätigen Sie die Vorbereitung des Mandanten.

Schritt 2: Öffnen Sie den Connector-Assistenten

Wechseln Sie im Defender-Portal zu MDASH Initiative>Einstellungen. Informationen zum Zugriff auf die MDASH Initiative finden Sie in den Einstiegspunkten.

  • Im Agentic Code Scanning Management wählen Sie neben Quellcode-UmgebungWeitere hinzufügen und dann Azure DevOps.Sie werden zumAzureDevOps-Connector Flow weitergeleitet.

  • Geben Sie optional einen Namen für den Connector ein. Wenn Sie sie leer lassen, wird automatisch ein Standardname zugewiesen.

  • Wählen Sie Weiteraus.

Schritt 3: Konfigurieren von Zugriff und Berechtigungen

Der Connector macht zwei Berechtigungsstufen verfügbar:

  • Lesen – Standardmäßig ausgewählt und kann nicht entfernt werden. Ermöglicht es Defender for DevOps, Ihre Azure DevOps-Repositories zu scannen und Sicherheitsprobleme zu identifizieren, ohne Änderungen vorzunehmen.
  • Schreiben – Standardmäßig ausgewählt und optional. Benötigt nur für eine begrenzte Anzahl von Azure DevOps-Operationen, die von Natur aus Schreibzugriff benötigen, wie zum Beispiel das Erstellen von Pull Requests.

Lesezugriff

Lesezugriff umfasst:

  • Quellcode und Repositorymetadaten
  • Pipelines und Versorgungsanschlüsse
  • Sicherheitsbezogene Signale über die verbundenen Organisationen und Projekte hinweg

Schreibzugriff (optional)

Mit dem Schreibzugriff können Defender for DevOps Aktionen in Ihren Repositorys ausführen und Ergebnisse in Entwicklerworkflows integrieren. Dieser Zugriff umfasst folgende Möglichkeiten:

  • Erstellen Sie Pull Requests, die KI-generierte Fixes enthalten
  • Aktualisierung von Repository-Inhalten und Metadaten als Teil der Behebungsabläufe

Note

Schreibzugriff ist optional und nur für Szenarien erforderlich, in denen Defender Informationen in Azure DevOps-Repositories erstellen, aktualisieren oder zurückschreiben muss. Lesezugriff reicht für Sicherheitsüberprüfungs- und Ermittlungsszenarien aus.

Überprüfen Sie die Berechtigungsauswahl, und wählen Sie "Weiter" aus.

Schritt 4: Autorisieren und konfigurieren

Erteile der DevOps-Sicherheits-App die Erlaubnis, auf deine Azure DevOps-Ressourcen zuzugreifen, und wähle die Organisationen aus, die zum Onboarding genutzt werden sollen.

  1. Wählen Sie Entra ID autorisieren aus.
  2. Wählen Sie im Anmelde-Dialog das Konto aus, das in den Azure DevOps-Zielorganisationen über die Rolle Project Collection Administrator verfügt.
  3. Nach erfolgreicher Autorisierung listet der Wizard alle für dieses Konto entdeckten Azure DevOps-Organisationen auf, mit der Anzahl der Projekte in jeder Organisation.
  4. Wählen Sie die Organisationen aus, die Sie einbinden möchten, und wählen Sie dann Weiter.

Note

Sie können eine Teilmenge der entdeckten Organisationen auswählen. Unausgewählte Organisationen werden ignoriert und können später durch Bearbeiten des Connectors hinzugefügt werden.

Schritt 5: Überprüfen und Aktivieren

Auf der Seite " Überprüfen und Fertig stellen " wird eine Zusammenfassung Ihres Flusses angezeigt:

  • Anzeigename des Konnektors
  • Liste der Azure DevOps-Organisationen, die integriert werden, mit Projektzahlen
  • Zugriffs- und Berechtigungsbereich (Lesen und, falls ausgewählt, Schreiben)

Wählen Sie "Aktivieren" aus, um den Connector zu aktivieren.

Nach Aktivierung des Azure DevOps-Connectors steht innerhalb von bis zu einer Stunde die Möglichkeit zur Verfügung, einen On-Demand-Agentic Scan für integrierte Repositories auszulösen.

  • Zuletzt aktualisiert um