Nota
L'accesso a questa pagina richiede l'autorizzazione. È possibile provare ad accedere o modificare le directory.
L'accesso a questa pagina richiede l'autorizzazione. È possibile provare a modificare le directory.
servizi Azure DevOps | Azure DevOps Server | Azure DevOps Server 2022
Questo articolo illustra i livelli di accesso e le autorizzazioni tramite ereditarietà, gruppi di sicurezza, ruoli e altro ancora in Azure DevOps.
Per una panoramica delle autorizzazioni predefinite, vedere Informazioni di riferimento rapido sulle autorizzazioni predefinite.
Per altre informazioni, vedi Panoramica sulla sicurezza.
Per linee guida sulle prestazioni per le organizzazioni di grandi dimensioni, vedere Raccomandazioni sulle prestazioni delle autorizzazioni.
Suggerimento
È possibile usare l'intelligenza artificiale per semplificare le attività di Azure DevOps. Per iniziare, vedere Abilitare l'assistenza per intelligenza artificiale con il server MCP di Azure DevOps .
Livelli di accesso
Tutti gli utenti di Azure DevOps hanno un livello di accesso, che concede o limita l'accesso a funzionalità specifiche del portale Web. Esistono tre livelli di accesso principali: Stakeholder, Basic e Basic + Test Plans. Per concedere a un utente l'accesso alle funzionalità di gestione del portfolio Agile o alla gestione dei test case, modificare i livelli di accesso, non le autorizzazioni. Per altre informazioni, vedere Informazioni sui livelli di accesso.
Autorizzazioni
Tutti gli utenti in Azure DevOps appartengono a uno o più gruppi di sicurezza predefiniti. Assegnare le autorizzazioni ai gruppi di sicurezza che consentono o negano l'accesso alle funzionalità o alle attività.
- I membri ereditano le autorizzazioni assegnate al proprio gruppo di sicurezza.
- Definire le autorizzazioni a livelli diversi: organizzazione/raccolta, progetto o oggetto.
- Gestire alcune autorizzazioni tramite assegnazioni basate su ruoli ( ad esempio, amministratore del team, gestione delle estensioni o ruoli delle risorse della pipeline).
- Gli amministratori possono definire gruppi di sicurezza personalizzati per gestire le autorizzazioni per aree funzionali diverse.
La gestione delle autorizzazioni in Azure DevOps prevede due gruppi chiave: Amministratori raccolta progetti e Amministratori progetto.
Amministratori raccolta progetti:
- Disporre di autorizzazioni amministrative generali all'interno di un'organizzazione o di una raccolta di progetti.
- Gestire impostazioni, criteri e processi per l'organizzazione.
- Creare e gestire progetti.
Amministratori progetto:
- Operare a livello di progetto.
- Gestire gruppi di sicurezza e autorizzazioni dalle impostazioni di Project nel portale Web.
- Gestire le autorizzazioni per gli oggetti specifici creati dai collaboratori all'interno del progetto.
Stati dell'autorizzazione
Assegnare autorizzazioni per concedere o limitare l'accesso:
L'utente o il gruppo dispone dell'autorizzazione:
- Consenti
- Consenti (ereditato)
- Consenti (Sistema)
L'utente o il gruppo non dispone dell'autorizzazione:
- Nega
- Nega (ereditato)
- Nega (sistema)
- Non impostato
| Stato di autorizzazione | Descrizione |
|---|---|
| Consenti | Concede in modo esplicito l'autorizzazione all'utente o al gruppo selezionato nell'ambito corrente. |
| Consenti (ereditato) | Concede l'autorizzazione tramite un ambito padre o l'appartenenza a un gruppo. |
| Consenti (sistema) | Concede un'autorizzazione che Azure DevOps gestisce. Non è possibile modificare le autorizzazioni di sistema. |
| Nega | Nega in modo esplicito l'autorizzazione per l'utente o il gruppo selezionato nell'ambito corrente. |
| Nega (ereditato) | Nega l'autorizzazione tramite un ambito superiore o l'appartenenza a un gruppo. |
| Nega (sistema) | Nega un'autorizzazione gestita da Azure DevOps. Non è possibile modificare le autorizzazioni di sistema. |
| Non impostato | Né concede né nega l'autorizzazione nell'ambito attuale. Altre assegnazioni applicabili determinano l'autorizzazione effettiva. |
Azure DevOps calcola le autorizzazioni valide dalle assegnazioni dirette, dalle appartenenze ai gruppi e dalle assegnazioni ereditate. Quando combina le assegnazioni con lo stesso ambito, Deny ha in genere la precedenza su Consenti. In una gerarchia di oggetti, un'assegnazione esplicita su un oggetto figlio può sostituire il valore ereditato dal padre per la stessa identità.
Avviso
Quando si modifica un'autorizzazione per un gruppo, influisce su tutti gli utenti di tale gruppo. Anche una singola modifica delle autorizzazioni può influire su centinaia di utenti, quindi considerare i potenziali effetti prima di apportare eventuali modifiche.
Ereditarietà delle autorizzazioni
Le autorizzazioni seguono una gerarchia, in modo da poter ereditare le autorizzazioni da un nodo padre o eseguirne l'override.
Ereditarietà dei gruppi:
- Gli utenti ricevono le autorizzazioni combinate dei gruppi a cui appartengono.
- Nello stesso ambito, un Deny proveniente da un gruppo in genere ha la precedenza su un Allow proveniente da un altro gruppo.
- Non impostato non concede o nega un'autorizzazione e non esegue l'override di un'assegnazione da un altro gruppo.
Ereditarietà a livello di oggetto:
Si assegnano autorizzazioni a livello di oggetto a nodi come aree, iterazioni, cartelle di controllo della versione e cartelle di query degli elementi di lavoro. Queste autorizzazioni vengono ereditate nella gerarchia.
Regole della gerarchia degli oggetti:
- Le autorizzazioni impostate in un nodo di livello superiore vengono ereditate da tutti i sottonodi, a meno che non siano modificate esplicitamente.
- Se un'autorizzazione non è consentita o negata in modo esplicito per un sottonodo, eredita l'autorizzazione dal relativo elemento padre.
- Se un'autorizzazione è impostata in modo esplicito per un'identità in un sottonodo, il valore ereditato dall'elemento padre per tale identità non si applica al nodo secondario.
- Dopo aver risolto la gerarchia degli oggetti, Azure DevOps combina le assegnazioni dirette e di gruppo applicabili. Un Deny di un altro gruppo nell'ambito risultante può comunque avere la precedenza su un Allow.
Esempio:
-
Nega in modo esplicito in
area-1(nodo padre). - In modo esplicito Consenti per
area-1/sub-area-1(nodo figlio). - In questo caso, l'utente riceve un oggetto Allow on
area-1/sub-area-1, ignorando l'oggetto Deny ereditato dal nodo padre.
Per comprendere perché viene ereditata un'autorizzazione, selezionare Perché? per tale autorizzazione. Per aprire una pagina Sicurezza , vedere Visualizzare le autorizzazioni.
Verrà visualizzata una nuova finestra di dialogo che mostra le informazioni sull'ereditarietà per tale autorizzazione.
Una nuova finestra mostra le informazioni di ereditarietà per tale autorizzazione.
Gruppi di sicurezza e appartenenza
I gruppi di sicurezza assegnano autorizzazioni specifiche ai membri.
Quando si crea un'organizzazione, una raccolta o un progetto, Azure DevOps crea un set di gruppi di sicurezza predefiniti e assegna automaticamente le autorizzazioni predefinite a questi gruppi. Per definire più gruppi di sicurezza, usare le azioni seguenti:
- Creazione di gruppi di sicurezza personalizzati ai livelli seguenti:
- A livello di progetto
- A livello di organizzazione o raccolta
- A livello di server (solo locale)
- Aggiungere un team, che crea un gruppo di sicurezza per il team
Non è possibile creare un gruppo di sicurezza a livello di oggetto, ma è possibile assegnare un gruppo personalizzato a un livello di oggetto e assegnare autorizzazioni a tale livello. Per altre informazioni, vedere Impostare le autorizzazioni a livello di oggetto.
Gruppi di sicurezza predefiniti
La maggior parte degli utenti di Azure DevOps viene aggiunta al gruppo di sicurezza Collaboratori e viene concesso il livello di accesso Basic. Il gruppo Collaboratori fornisce l'accesso in lettura e scrittura ai repository, al rilevamento del lavoro, alle pipeline e altro ancora. L'accesso di base consente l'accesso a tutte le funzionalità e le attività per l'uso di Azure Boards, Azure Repos, Azure Pipelines e Azure Artifacts. Gli utenti che devono accedere per gestire Azure Test Plans richiedono Basic + Test Plans o un vantaggio di sottoscrizione Visual Studio applicabile.
I gruppi di sicurezza seguenti sono definiti per impostazione predefinita per ogni progetto e organizzazione. In genere si aggiungono utenti o gruppi ai gruppi Lettori, Collaboratori o Amministratori progetto.
| Progetto | Organizzazione o raccolta |
|---|---|
| - Amministratori di build -Contributori - Amministratori progetto - Utenti validi del progetto -Lettori - Amministratori di Rilascio - TeamName Squadra |
- Amministratori raccolta progetti - Amministratori delle compilazioni di raccolta dei progetti - Account del servizio di compilazione raccolta progetti - Account del servizio proxy di raccolta progetti - Account del servizio raccolta progetti - Account del servizio di test della raccolta di progetti - Utenti validi della raccolta di progetti - Utenti con ambito delimitato al progetto - Gruppo di servizi di sicurezza |
Per una descrizione di ognuno di questi gruppi, vedere Gruppi di sicurezza, account di servizio e autorizzazioni. Per le assegnazioni di autorizzazioni predefinite effettuate ai gruppi di sicurezza predefiniti più comuni, vedere Autorizzazioni e accesso predefiniti.
I gruppi di sicurezza seguenti sono definiti per impostazione predefinita per ogni progetto e raccolta di progetti. In genere si aggiungono utenti o gruppi ai gruppi Lettori, Collaboratori o Amministratori progetto.
Aggiungere account di servizio solo ai gruppi di account del servizio Azure DevOps. Per informazioni sui gruppi di utenti validi, vedere Gruppi di utenti validi più avanti in questo articolo.
| Livello progetto | Livello raccolta |
|---|---|
| - Amministratori di build -Contributori - Amministratori progetto - Utenti validi del progetto -Lettori - Amministratori di Rilascio - TeamName Squadra |
- Amministratori raccolta progetti - Amministratori delle compilazioni di raccolta dei progetti - Account del servizio di compilazione raccolta progetti - Account del servizio proxy di raccolta progetti - Account del servizio raccolta progetti - Account del servizio di test della raccolta di progetti - Utenti validi della raccolta di progetti - Gruppo di servizi di sicurezza |
Aggiungere utenti che gestiscono le funzionalità a livello di progetto al gruppo Amministratori progetto . Queste funzionalità includono team, percorsi di area e iterazione, repository, hook di servizio e punti finali del servizio.
Aggiungere utenti che gestiscono le funzionalità a livello di organizzazione o raccolta al gruppo Project Collection Administrators . Queste funzionalità includono progetti, criteri, processi, criteri di conservazione, agenti, pool di distribuzione e estensioni. Per altre informazioni, vedere Informazioni sulle impostazioni a livello di utente, team, progetto e organizzazione.
Gestione dell'appartenenza, delle autorizzazioni e dei livelli di accesso
Azure DevOps controlla l'accesso tramite queste tre aree funzionali connesse:
- Gestione delle appartenenze supporta l'aggiunta di singoli account utente e di gruppi a gruppi di sicurezza predefiniti. Ogni gruppo predefinito viene associato a un set di autorizzazioni predefinite. Tutti gli utenti aggiunti a qualsiasi gruppo di sicurezza vengono aggiunti al gruppo Utenti validi. Un utente valido è un utente che può connettersi a un progetto, a una raccolta o a un'organizzazione.
- Gestione delle autorizzazioni controlla l'accesso a specifiche attività funzionali a diversi livelli del sistema. Le autorizzazioni a livello di oggetto impostano le autorizzazioni per un file, una cartella, una pipeline di compilazione o una query condivisa. Le impostazioni di autorizzazione corrispondono a Consenti, Rifiuta, Consenti ereditato, Rifiuta ereditato, Consenti sistema, Rifiuta sistema e Non impostato.
- La gestione a livello di accesso controlla l'accesso alle funzionalità del portale Web. In base alla licenza e al ruolo dell'utente, gli amministratori assegnano Stakeholder, Basic, Basic + Test Plans o un livello di accesso applicabile di una sottoscrizione di Visual Studio.
Ogni area funzionale usa i gruppi di sicurezza per semplificare la gestione all'interno della distribuzione. Gli utenti e i gruppi vengono aggiunti tramite il contesto di amministrazione Web. Le autorizzazioni vengono impostate automaticamente in base al gruppo di sicurezza a cui si aggiungono utenti. In alternativa, le autorizzazioni sono basate sull'oggetto, il progetto, la raccolta o il livello del server a cui si aggiungono gruppi.
I membri dei gruppi di sicurezza possono essere costituiti da una combinazione di utenti, altri gruppi e gruppi di Microsoft Entra.
I membri del gruppo di sicurezza possono essere una combinazione di utenti, altri gruppi e gruppi di Active Directory o di un gruppo di lavoro.
È possibile creare gruppi locali o gruppi di Active Directory (AD) per gestire gli utenti.
Gruppi di sicurezza di Active Directory e Microsoft Entra
È possibile popolare i gruppi di sicurezza aggiungendo singoli utenti. Tuttavia, per semplificare la gestione, è più efficiente popolare questi gruppi usando l'ID Microsoft Entra per Azure DevOps Services e Active Directory (AD) o i gruppi di utenti windows per Azure DevOps Server. Questo approccio consente di gestire l'appartenenza ai gruppi e le autorizzazioni in modo più efficace in più computer.
Se è sufficiente gestire un piccolo set di utenti, è possibile ignorare questo passaggio. Tuttavia, se si prevede che l'organizzazione possa crescere, è consigliabile configurare Active Directory o Microsoft Entra ID. Inoltre, se si prevede di usare servizi aggiuntivi, è essenziale configurare Microsoft Entra ID per l'uso con Azure DevOps per supportare la fatturazione.
Nota
Senza Microsoft Entra ID, tutti gli utenti di Azure DevOps devono accedere usando account Microsoft ed è necessario gestire l'accesso dell'account in base ai singoli account utente. Anche se si gestisce l'accesso all'account usando gli account Microsoft, configurare una sottoscrizione di Azure per gestire la fatturazione.
Per configurare Microsoft Entra ID per l'uso con Azure DevOps Services, vedere Connettere l'organizzazione all'ID Microsoft Entra.
Quando l'organizzazione è connessa all'ID Microsoft Entra, è possibile definire e gestire vari criteri dell'organizzazione per migliorare la sicurezza e semplificare l'accesso alle applicazioni. Per altre informazioni, vedere Informazioni sulla sicurezza, criteri di sicurezza.
Per gestire l'accesso dell'organizzazione con Microsoft Entra ID, vedere gli articoli seguenti:
- Aggiungere o eliminare utenti utilizzando Microsoft Entra ID
- Risolvere i problemi di accesso con Microsoft Entra ID
Azure DevOps registra le modifiche apportate a un gruppo Microsoft Entra entro un'ora da tale modifica in Microsoft Entra ID. Tutte le autorizzazioni ereditate tramite l'appartenenza al gruppo vengono aggiornate. Per aggiornare l'appartenenza a Microsoft Entra e le autorizzazioni ereditate in Azure DevOps, disconnettersi e quindi eseguire nuovamente l'accesso o attivare un aggiornamento per rivalutare l'autorizzazione.
Per configurare Active Directory per l'uso con Azure DevOps Server, vedere gli articoli seguenti:
- Installazione di Servizi di dominio Active Directory (Livello 100)
- Introduzione ai servizi di dominio di Active Directory.
Installare Active Directory prima di installare Azure DevOps Server.
Gruppi di utenti validi
Quando si aggiungono account utente direttamente a un gruppo di sicurezza, gli utenti diventano automaticamente parte di uno dei gruppi di utenti validi seguenti.
- Utenti Validati della Raccolta Progetti: Tutti i membri aggiunti a un gruppo a livello di organizzazione.
- Utenti validi progetto: Tutti i membri aggiunti a un gruppo a livello di progetto.
- Server\Utenti validi di Azure DevOps: tutti i membri aggiunti ai gruppi a livello di server.
- ProjectCollectionName\Utenti validi della raccolta di progetti: tutti i membri aggiunti ai gruppi a livello di raccolta.
- ProjectName\Project Valid Users: tutti i membri aggiunti ai gruppi a livello di progetto.
Le autorizzazioni predefinite assegnate a questi gruppi forniscono principalmente l'accesso in lettura, ad esempio Visualizza risorse di compilazione, Visualizza informazioni a livello di progetto e Visualizza informazioni a livello di raccolta.
Per accedere alle risorse del progetto, un utente deve visualizzare le informazioni a livello di progetto ed eventuali autorizzazioni necessarie per la risorsa specifica. Le autorizzazioni del percorso di area controllano l'accesso agli elementi di lavoro e agli artefatti di test all'interno di un progetto; non controllano se un utente può accedere al progetto. Non modificare le autorizzazioni predefinite per un gruppo Utenti validi. Negando visualizza informazioni a livello di progetto, Visualizza informazioni a livello di raccolta o Visualizza informazioni a livello di istanza a uno di questi gruppi possono bloccare tutti i relativi membri dall'ambito corrispondente.
Gruppo di utenti con ambito progetto
Per impostazione predefinita, gli utenti aggiunti a un'organizzazione possono visualizzare informazioni sull'organizzazione e sul progetto oltre i progetti di cui sono membri.
Per limitare utenti specifici, come stakeholder, utenti guest di Microsoft Entra o membri di un determinato gruppo di sicurezza, è possibile abilitare la funzionalità di anteprima Limita visibilità utente e collaborazione a progetti specifici per l'organizzazione. Quando si abilita questa funzionalità, gli utenti e i gruppi nel gruppo utentiProject-Scoped possono accedere solo ai progetti a cui vengono aggiunti in modo esplicito. La funzionalità limita inoltre il loro accesso alle impostazioni dell'organizzazione e alle identità nei selettori utenti.
Avviso
Quando si usa questa funzionalità di anteprima, considerare le limitazioni seguenti:
- Le funzionalità di visibilità limitate descritte in questa sezione si applicano solo alle interazioni tramite il portale Web. Usando le API REST o
az devopsi comandi dell'interfaccia della riga di comando, i membri del progetto possono accedere ai dati con restrizioni. - Gli utenti del gruppo limitato possono selezionare solo gli utenti che vengono aggiunti in modo esplicito ad Azure DevOps e non agli utenti che hanno accesso tramite l'appartenenza al gruppo Microsoft Entra.
- Gli utenti guest, membri del gruppo limitato con accesso predefinito in Microsoft Entra ID, non possono cercare gli utenti con il selettore persone.
Per i passaggi di installazione e le limitazioni, vedere Limitare la visibilità degli utenti.
Nota
I gruppi di sicurezza vengono gestiti a livello di organizzazione, anche se vengono usati per progetti specifici. A seconda delle autorizzazioni utente, alcuni gruppi potrebbero essere nascosti nel portale Web. Per visualizzare tutti i nomi di gruppo all'interno di un'organizzazione, è possibile usare lo strumento dell'interfaccia della riga di comando di Azure DevOps o le API REST. Per altre informazioni, vedere Aggiungere e gestire gruppi di sicurezza.
Nota
I gruppi di sicurezza vengono gestiti a livello di raccolta, anche se vengono usati per progetti specifici. A seconda delle autorizzazioni utente, alcuni gruppi potrebbero essere nascosti nel portale Web. Per visualizzare tutti i nomi di gruppo all'interno di una raccolta, è possibile usare lo strumento dell'interfaccia della riga di comando di Azure DevOps o le API REST. Per altre informazioni, vedere Aggiungere e gestire gruppi di sicurezza.
Autorizzazioni basate sui ruoli
Con le autorizzazioni basate sui ruoli, si assegnano account utente o gruppi di sicurezza a un ruolo e ogni ruolo dispone di una o più autorizzazioni. Le risorse seguenti supportano le autorizzazioni basate sui ruoli:
- Ruoli di sicurezza per gli artefatti o per i feed di pacchetti
- Ruolo di gestione delle estensioni del Marketplace
- Ruoli di sicurezza della pipeline
- Ruolo di amministratore del team
Per ulteriori informazioni, vedere Informazioni sui ruoli di sicurezza della pipeline.
L'immagine seguente illustra il modo in cui i gruppi di sicurezza definiti a livello di progetto e raccolta possono assegnare autorizzazioni a oggetti, progetti e organizzazione.
L'immagine seguente illustra come i gruppi di sicurezza definiti a livello di progetto e raccolta possono essere assegnati alle autorizzazioni assegnate a livello di oggetto, progetto e raccolta. È possibile definire solo gruppi di sicurezza a livello di server per le autorizzazioni a livello di server.
I membri dei gruppi Project Administrators o Project Collection Administrators gestiscono tutti gli strumenti del team per tutti i team.
Funzionalità di anteprima
Le funzionalità di anteprima forniscono l'accesso anticipato alle funzionalità prima che diventino disponibili a livello generale. Gli utenti possono gestire le funzionalità di anteprima offerte a livello di utente. I membri del gruppo Amministratori della raccolta di progetti possono gestire le funzionalità di anteprima a livello di organizzazione in Azure DevOps Services e le funzionalità di anteprima a livello di raccolta in Azure DevOps Server. Per altre informazioni, vedere Gestire o abilitare le funzionalità.