Guía de autenticación para Azure DevOps

Servicios de Azure DevOps | Azure DevOps Server | Azure DevOps Server 2022

Use este artículo para elegir un enfoque de autenticación para Azure DevOps en el nivel de organización. Abarca la posición de seguridad, la gobernanza y la capacidad de mantenimiento de los métodos comunes y, a continuación, se vinculan a instrucciones centradas en la implementación.

Para obtener detalles de implementación de nivel de aplicación, consulte Métodos de autenticación para Azure DevOps.

Diferencias entre servicios y servidores

Las opciones de autenticación difieren entre Azure DevOps Services y Azure DevOps Server.

Platform Valor predeterminado recomendado Notas
servicios de Azure DevOps autenticación basada en Microsoft Entra Use Microsoft Entra inicio de sesión para los usuarios y Microsoft Entra identidades de aplicación para la automatización.
Azure DevOps Server autenticación de Windows, bibliotecas cliente de .NET o PAT donde se admite Los patrones de entidad de servicio e identidad administrada para la autenticación de Azure DevOps se aplican a Azure DevOps Services, no Azure DevOps Server.

Comparación de las opciones de autenticación comunes

Use la tabla siguiente para comparar opciones comunes para usuarios, aplicaciones, scripts y canalizaciones.

Method Más adecuado para Posición de seguridad Administración de credenciales Funciona con Evitar cuándo
Microsoft Entra inicio de sesión de usuario Acceso interactivo de usuarios a Azure DevOps organizaciones Opción segura con gobernanza centralizada de identidades, acceso condicional y autenticación multifactor Administrado por directivas de inquilino y ciclo de vida de Microsoft Entra servicios de Azure DevOps Va a implementar la automatización de aplicaciones a aplicaciones desatendida.
Identidad administrada automatización hospedada Azure, como Azure Functions o App Service Opción más segura para la automatización hospedada Azure porque los tokens son de corta duración y Azure administra el ciclo de vida de la identidad. Ningún secreto de cliente para almacenar o girar servicios de Azure DevOps La carga de trabajo no se ejecuta en Azure o necesita una identidad portátil entre entornos.
Entidad principal de servicio Automatización fuera de Azure o en varios entornos y sistemas de CI/CD Opción segura cuando se usan patrones de credenciales con privilegios mínimos y modernos La identidad y las credenciales de la aplicación se administran a menos que un flujo federado quite los secretos. servicios de Azure DevOps Una identidad administrada puede cumplir el mismo requisito en cargas de trabajo hospedadas en Azure
conexión de servicio Azure DevOps Azure Pipelines acceso a recursos de Azure DevOps Opción segura para la automatización de canalizaciones porque usa la federación de identidades de carga de trabajo y evita la expansión de PAT en canalizaciones. Administrado a través de Azure DevOps configuración de conexión de servicio Canalizaciones de Azure DevOps Services El escenario no se ejecuta a través de Azure Pipelines
Un token de acceso personal (PAT) Scripts personales de corta duración, pruebas puntuales o escenarios de compatibilidad heredados Mayor riesgo porque los PAT son secretos de portador de larga duración vinculados a cuentas de usuario Creación manual, almacenamiento, rotación y revocación Azure DevOps Services y Azure DevOps Server Automatización de producción en la que la entidad de servicio, la identidad administrada o la conexión de servicio están disponibles

Importante

Considere la posibilidad de usar los tokens de Microsoft Entra más seguros sobre tokens de acceso personal de mayor riesgo. Para obtener más información, consulte Reducir el uso de PAT. Revise las instrucciones de autenticación para elegir el mecanismo de autenticación adecuado para sus necesidades.

  • Use Microsoft Entra inicio de sesión de usuario para el acceso de los usuarios a organizaciones de Azure DevOps Services.
  • Use primero la identidad administrada para la automatización hospedada en Azure.
  • Use la entidad de servicio para la automatización entre entornos o no Azure.
  • Use Azure DevOps conexión de servicio cuando Azure Pipelines necesite Azure DevOps acceso a los recursos.
  • Use PAT solo para escenarios temporales, personales, heredados o Azure DevOps Server en los que no se apliquen opciones más seguras.

Cuándo usar PAT

Use PAT en escenarios limitados, como:

  • Scripts ad hoc personales
  • Solución de problemas de API única
  • Herramientas heredadas que no pueden usar la autenticación basada en Microsoft Entra
  • Azure DevOps Server escenarios en los que los flujos de identidad en la nube modernos no están disponibles

Cuando se usan PAT:

  • Consíquelos a los permisos mínimos necesarios.
  • Utilice la duración práctica más corta.
  • Almacenarlos y rotarlos como secretos.
  • Reemplácelas por opciones basadas en Microsoft Entra siempre que sea posible.

Para obtener instrucciones sobre el ciclo de vida de PAT, consulte Uso de tokens de acceso personal y Administración de directivas pat.

Controles de directivas y gobernanza

Use controles de organización e inquilino para aplicar la posición de autenticación:

Lista de comprobación de decisión

Antes de elegir un método de autenticación, confirme lo siguiente:

  • ¿Este acceso interactivo por el usuario o la automatización desatendida?
  • ¿La carga de trabajo está hospedada en Azure o fuera de Azure?
  • ¿Es la plataforma de destino Azure DevOps Services o Azure DevOps Server?
  • ¿Este escenario puede evitar credenciales de larga duración?
  • ¿Se cumplen los requisitos de directiva y auditoría de la organización?

Guías de implementación

  • Se actualizó por última vez el