Notitie
Voor toegang tot deze pagina is autorisatie vereist. U kunt proberen u aan te melden of de directory te wijzigen.
Voor toegang tot deze pagina is autorisatie vereist. U kunt proberen de mappen te wijzigen.
Azure DevOps Services | Azure DevOps Server | Azure DevOps Server 2022
In dit artikel leert u meer over toegangsniveaus en machtigingen via overname, beveiligingsgroepen, rollen en meer in Azure DevOps.
Zie de snelzoekgids voor standaardmachtigingen voor een overzicht van standaardmachtigingen.
Zie Beveiligingsoverzicht voor meer informatie.
Zie Aanbevelingen voor machtigingsprestaties voor prestatierichtlijnen voor grote organisaties.
Aanbeveling
U kunt AI gebruiken om u te helpen met Azure DevOps-taken. Zie Hulp bij AI inschakelen met Azure DevOps MCP Server om aan de slag te gaan.
Toegangsniveaus
Alle Azure DevOps-gebruikers hebben een toegangsniveau dat toegang verleent of beperkt tot specifieke webportalfuncties. Er bestaan drie hoofdtoegangsniveaus: Belanghebbende, Basic en Basic + Test-plannen. Als u een gebruiker toegang wilt geven tot agile portfoliobeheer- of testcasebeheerfuncties, wijzigt u toegangsniveaus en geen machtigingen. Zie Over toegangsniveaus voor meer informatie.
Machtigingen
Alle gebruikers in Azure DevOps behoren tot een of meer standaardbeveiligingsgroepen. Wijs machtigingen toe aan beveiligingsgroepen die toegang tot functies of taken toestaan of weigeren.
- Leden nemen de machtigingen over die zijn toegewezen aan hun beveiligingsgroep.
- Machtigingen definiëren op verschillende niveaus: organisatie/verzameling, project of object.
- Beheer bepaalde machtigingen via toewijzingen op basis van rollen (bijvoorbeeld teambeheerder, extensiebeheer of pijplijnresourcerollen).
- Beheerders kunnen aangepaste beveiligingsgroepen definiëren om machtigingen voor verschillende functionele gebieden te beheren.
Het beheren van machtigingen in Azure DevOps omvat twee belangrijke groepen: Beheerders van projectverzamelingen en projectbeheerders.
Beheerders van projectverzamelingen:
- Beschikken over brede beheerdersmachtigingen binnen een organisatie of projectverzameling.
- Instellingen, beleidsregels en processen voor de organisatie beheren.
- Projecten maken en beheren.
Projectbeheerders:
- Werken op projectniveau.
- Beveiligingsgroepen en machtigingen beheren vanuit de Project-instellingen in de webportal.
- Machtigingen afhandelen voor specifieke objecten die inzenders maken binnen het project.
Machtigingsstatussen
Wijs machtigingen toe om toegang te verlenen of te beperken:
Gebruiker of groep heeft machtigingen:
- Toestaan
- Toestaan (geërfd)
- Toestaan (systeem)
Gebruiker of groep heeft geen machtiging:
- Weigeren
- Weigeren (geërfd)
- Weigeren (systeem)
- Niet ingesteld
| Machtigingsstatus | Beschrijving |
|---|---|
| Toestaan | Verleent expliciet toestemming aan de geselecteerde gebruiker of groep binnen het huidige bereik. |
| Toestaan (geërfd) | Verleent de machtiging via een bovenliggende scope of groepslidmaatschap. |
| Systeem toestaan | Verleent een machtiging die door Azure DevOps wordt beheerd. U kunt geen systeemmachtigingen bewerken. |
| Weigeren | Hiermee wordt de machtiging voor de geselecteerde gebruiker of groep expliciet geweigerd op het huidige bereik. |
| Weigeren (erfelijk) | De machtiging wordt geweigerd via een bovenliggend bereik of groepslidmaatschap. |
| Weigeren (systeem) | Weigert een machtiging die door Azure DevOps wordt beheerd. U kunt geen systeemmachtigingen bewerken. |
| Niet ingesteld | Verleent noch ontzegt de toestemming op het huidige niveau. Andere toepasselijke toewijzingen bepalen de effectieve machtiging. |
Azure DevOps berekent effectieve machtigingen van directe toewijzingen, groepslidmaatschappen en overgenomen toewijzingen. Wanneer toewijzingen in hetzelfde bereik worden gecombineerd, heeft Weigeren doorgaans voorrang op Toestaan. In een objecthiërarchie kan een expliciete toewijzing op een onderliggend object de van het bovenliggende object overgenomen waarde voor diezelfde identiteit vervangen.
Waarschuwing
Wanneer u een machtiging voor een groep wijzigt, is dit van invloed op alle gebruikers in die groep. Zelfs één machtigingswijziging kan van invloed zijn op honderden gebruikers, dus houd rekening met de mogelijke effecten voordat u wijzigingen aanbrengt.
Machtigingserfenis
Machtigingen volgen een hiërarchie, zodat u machtigingen van een bovenliggend knooppunt kunt overnemen of overschrijven.
Groepenovererving:
- Gebruikers ontvangen de gecombineerde machtigingen van de groepen waartoe ze behoren.
- In hetzelfde bereik heeft een weigeren van de ene groep in het algemeen voorrang op een toestaan vanuit een andere groep.
- Niet ingesteld verleent of weigert geen machtiging en overschrijft geen toewijzing van een andere groep.
Overerving op objectniveau:
U wijst machtigingen op objectniveau toe aan knooppunten, zoals gebieden, iteraties, mappen voor versiebeheer en querymappen voor werkitems. Deze machtigingen worden door de hiërarchie heen overgenomen.
Regels voor objecthiërarchie:
- Machtigingen die zijn ingesteld op een knooppunt op een hoger niveau, worden overgenomen door alle subknooppunten, tenzij deze expliciet worden overschreven.
- Als een machtiging niet expliciet is toegestaan of geweigerd voor een subknooppunt, erft deze de machtiging van het bovenliggende item.
- Als een machtiging expliciet is ingesteld voor een identiteit op een subknooppunt, geldt de van het bovenliggende knooppunt overgenomen waarde voor die identiteit niet op het subknooppunt.
- Nadat de objecthiërarchie is opgelost, combineert Azure DevOps de toepasselijke directe en groepstoewijzingen. Een weigering van een andere groep in het resulterende bereik kan nog steeds voorrang hebben op toestaan.
Voorbeeld:
- Expliciet weigeren op
area-1(bovenliggend knooppunt). - Expliciet toestaan voor
area-1/sub-area-1(onderliggend knooppunt). - In dit geval krijgt de gebruiker een toestaan op
area-1/sub-area-1, waarbij de geërfde weigering van het bovenliggende knooppunt wordt overschreven.
Als u wilt weten waarom een machtiging wordt overgenomen, selecteert u Waarom? voor die machtiging. Zie Machtigingen weergeven om een beveiligingspagina te openen.
Er wordt een nieuw dialoogvenster geopend met de overnamegegevens voor die machtiging.
In een nieuw venster ziet u de overnamegegevens voor die machtiging.
Beveiligingsgroepen en lidmaatschap
Beveiligingsgroepen wijzen specifieke machtigingen toe aan hun leden.
Wanneer u een organisatie, verzameling of project maakt, maakt Azure DevOps een set standaardbeveiligingsgroepen en wijst automatisch standaardmachtigingen toe aan deze groepen. U definieert meer beveiligingsgroepen met behulp van de volgende acties:
- Aangepaste beveiligingsgroepen maken op de volgende niveaus:
- Projectniveau
- Organisatie- of verzamelingsniveau
- Serverniveau (alleen on-premises)
- Een team toevoegen, waarmee een teambeveiligingsgroep wordt gemaakt
U kunt geen beveiligingsgroep op objectniveau maken, maar u kunt een aangepaste groep toewijzen aan een objectniveau en machtigingen toewijzen aan dat niveau. Zie Machtigingen op objectniveau instellen voor meer informatie.
Standaardbeveiligingsgroepen
De meeste Azure DevOps-gebruikers worden toegevoegd aan de beveiligingsgroep Inzenders en hebben het toegangsniveau Basic verleend. De groep Inzenders biedt lees- en schrijftoegang tot opslagplaatsen, werktracking, pijplijnen en meer. Basistoegang biedt toegang tot alle functies en taken voor het gebruik van Azure Boards, Azure-opslagplaatsen, Azure-pipelines en Azure-artefacten. Gebruikers die toegang nodig hebben om Azure Test Plans te beheren, hebben Basic + Test Plans of een van toepassing Visual Studio abonnementsvoordeel nodig.
De volgende beveiligingsgroepen worden standaard gedefinieerd voor elk project en elke organisatie. Doorgaans voegt u gebruikers of groepen toe aan de groepen Lezers, Inzenders of Projectbeheerders .
| Project | Organisatie of verzameling |
|---|---|
| - Beheerders bouwen -Medewerkers - Projectbeheerders - Geldige gebruikers van project -Lezers - Releasebeheerders - Teamnaam Team |
- Beheerders van projectverzamelingen - Projectverzamelingsbuildbeheerders - Serviceaccounts voor het bouwen van projectverzamelingen - Proxyserviceaccounts voor projectverzameling - Serviceaccounts voor projectverzameling - Serviceaccounts voor projectcollectie testen - Geldige gebruikers van projectcollectie - Projectgerichte gebruikers - Beveiligingsservicegroep |
Zie Beveiligingsgroepen, serviceaccounts en machtigingen voor een beschrijving van elk van deze groepen. Zie Standaardmachtigingen en -toegang voor standaardmachtigingen die zijn gemaakt voor de meest voorkomende standaardbeveiligingsgroepen.
De volgende beveiligingsgroepen worden standaard gedefinieerd voor elk project en elke projectverzameling. Doorgaans voegt u gebruikers of groepen toe aan de groepen Lezers, Inzenders of Projectbeheerders .
Voeg alleen serviceaccounts toe aan Azure DevOps-serviceaccountgroepen. Zie Geldige gebruikersgroepen verderop in dit artikel voor meer informatie over geldige gebruikersgroepen .
| Projectniveau | Verzamelingsniveau |
|---|---|
| - Beheerders bouwen -Medewerkers - Projectbeheerders - Geldige gebruikers van project -Lezers - Releasebeheerders - Teamnaam Team |
- Beheerders van projectverzamelingen - Projectverzamelingsbuildbeheerders - Serviceaccounts voor het bouwen van projectverzamelingen - Proxyserviceaccounts voor projectverzameling - Serviceaccounts voor projectverzameling - Serviceaccounts voor projectcollectie testen - Geldige gebruikers van projectcollectie - Beveiligingsservicegroep |
Gebruikers toevoegen die functies op projectniveau beheren aan de groep Projectbeheerders . Deze functies omvatten teams, gebieds- en iteratiepaden, opslagplaatsen, servicehook en service-eindpunten.
Gebruikers die functies op organisatie- of verzamelingsniveau beheren, toevoegen aan de groep Beheerders van projectverzamelingen . Deze functies omvatten projecten, beleid, processen, bewaarbeleid, agent- en implementatiegroepen en extensies. Zie Instellingen op gebruikers-, team-, project- en organisatieniveau voor meer informatie.
Lidmaatschaps-, machtigings- en toegangsniveaubeheer
Azure DevOps beheert de toegang via deze drie onderling verbonden functionele gebieden:
- Met Lidmaatschapsbeheer wordt het toevoegen van afzonderlijke gebruikersaccounts en groepen aan standaardbeveiligingsgroepen ondersteund. Elke standaardgroep is gekoppeld aan een set standaardmachtigingen. Alle gebruikers die zijn toegevoegd aan een beveiligingsgroep, worden toegevoegd aan de groep Geldige gebruikers. Een geldige gebruiker is iemand die verbinding kan maken met een project, verzameling of organisatie.
- Met Machtigingsbeheer wordt de toegang bepaald tot specifieke functionele taken op verschillende niveaus van het systeem. Machtigingen op objectniveau stellen machtigingen in voor een bestand, map, build-pijplijn of een gedeelde query. Machtigingsinstellingen komen overeen met Toestaan, Weigeren, Overgenomen toestaan, Overgenomen weigeren, Systeem toestaan, Systeem weigeren en Niet ingesteld.
- Beheer op toegangsniveau bepaalt de toegang tot webportalfuncties. Op basis van licenties en de rol van de gebruiker wijzen beheerders Belanghebbende, Basic, Basic + Test Plans of een van toepassing Visual Studio abonnementstoegangsniveau toe.
Elk functioneel gebied maakt gebruik van beveiligingsgroepen om het beheer in de hele implementatie te vereenvoudigen. U voegt gebruikers en groepen toe via de webbeheercontext. Machtigingen worden automatisch ingesteld op basis van de beveiligingsgroep waaraan u gebruikers toevoegt. Of machtigingen zijn gebaseerd op het object-, project-, verzameling- of serverniveau waaraan u groepen toevoegt.
Leden van een beveiligingsgroep kunnen een combinatie zijn van gebruikers, andere groepen en Microsoft Entra-groepen.
Leden van beveiligingsgroepen kunnen een combinatie zijn van gebruikers, andere groepen en Active Directory-groepen of een werkgroep.
U kunt lokale groepen of AD-groepen (Active Directory) maken om uw gebruikers te beheren.
Active Directory- en Microsoft Entra-beveiligingsgroepen
U kunt beveiligingsgroepen vullen door afzonderlijke gebruikers toe te voegen. Voor eenvoudiger beheer is het echter efficiënter om deze groepen te vullen met behulp van Microsoft Entra ID voor Azure DevOps Services en Active Directory (AD) of Windows-gebruikersgroepen voor Azure DevOps Server. Met deze aanpak kunt u groepslidmaatschap en machtigingen effectiever beheren op meerdere computers.
Als u slechts een kleine set gebruikers hoeft te beheren, kunt u deze stap overslaan. Maar als u verwacht dat uw organisatie kan groeien, kunt u overwegen Active Directory of Microsoft Entra-id in te stellen. Als u van plan bent om extra services te gebruiken, is het ook essentieel om Microsoft Entra-id te configureren voor gebruik met Azure DevOps ter ondersteuning van facturering.
Notitie
Zonder Microsoft Entra-id moeten alle Azure DevOps-gebruikers zich aanmelden met Behulp van Microsoft-accounts en moet u accounttoegang beheren door afzonderlijke gebruikersaccounts. Zelfs als u accounttoegang beheert met behulp van Microsoft-accounts, stelt u een Azure-abonnement in voor het beheren van facturering.
Zie Uw organisatie verbinden met Microsoft Entra ID om Microsoft Entra ID in te stellen voor gebruik met Azure DevOps Services.
Wanneer uw organisatie is verbonden met Microsoft Entra ID, kunt u verschillende organisatiebeleidsregels definiëren en beheren om de beveiliging te verbeteren en de toegang tot toepassingen te stroomlijnen. Zie Voor meer informatie over beveiliging, beveiligingsbeleid.
Zie de volgende artikelen voor het beheren van de toegang van de organisatie met Microsoft Entra-id:
- Gebruikers toevoegen of verwijderen met behulp van Microsoft Entra ID
- Problemen met toegang met Microsoft Entra-id oplossen
Azure DevOps registreert wijzigingen die zijn aangebracht in een Microsoft Entra-groep binnen een uur na die wijziging in Microsoft Entra-id. Overgenomen machtigingen via groepslidmaatschap worden vernieuwd. Als u uw Microsoft Entra-lidmaatschap en overgenomen machtigingen in Azure DevOps wilt vernieuwen, meldt u zich af en meldt u zich vervolgens weer aan of activeert u een vernieuwing om uw machtiging opnieuw te beoordelen.
Zie de volgende artikelen voor het instellen van Active Directory voor gebruik met Azure DevOps Server:
- Active Directory-domein Services installeren (Niveau 100)
- Aan de slag met Active Directory-domeinservices.
Installeer Active Directory voordat u Azure DevOps Server installeert.
Geldige gebruikersgroepen
Wanneer u gebruikersaccounts rechtstreeks aan een beveiligingsgroep toevoegt, worden de gebruikers automatisch onderdeel van een van de volgende geldige gebruikersgroepen.
- Geldige gebruikers van projectverzameling: alle leden die zijn toegevoegd aan een groep op organisatieniveau.
- Geldige gebruikers van project: alle leden die zijn toegevoegd aan een groep op projectniveau.
- Server\Azure DevOps Geldige gebruikers: alle leden die zijn toegevoegd aan groepen op serverniveau.
- ProjectCollectionName\Geldige gebruikers van projectverzameling: alle leden die zijn toegevoegd aan groepen op verzamelingsniveau.
- ProjectName\Geldige gebruikers van Project: Alle leden die zijn toegevoegd aan groepen op projectniveau.
De standaardmachtigingen die aan deze groepen zijn toegewezen, bieden voornamelijk leestoegang, zoals Build-resources weergeven, Informatie op projectniveau weergeven en Informatie op verzamelingsniveau weergeven.
Voor toegang tot projectresources heeft een gebruiker informatie op projectniveau en alle benodigde machtigingen voor de specifieke resource weergeven nodig. Gebiedspadmachtigingen beheren de toegang tot werkitems en testartefacten binnen een project; ze bepalen niet of een gebruiker toegang heeft tot het project. Wijzig de standaardmachtigingen voor een groep Geldige gebruikers niet. Het weigeren van informatie op projectniveau, informatie op verzamelingsniveau weergeven of Informatie op exemplaarniveau weergeven voor een van deze groepen kan alle leden van het bijbehorende bereik blokkeren.
Gebruikersgroep binnen het projectbereik
Standaard kunnen gebruikers die u aan een organisatie toevoegt, organisatie- en projectgegevens bekijken buiten de projecten waarvan ze lid zijn.
Als u specifieke gebruikers, zoals Belanghebbenden, Microsoft Entra-gastgebruikers of leden van een bepaalde beveiligingsgroep, wilt beperken, kunt u de functie Zichtbaarheid en samenwerking van gebruikers beperken tot specifieke preview-functies voor projecten voor de organisatie. Wanneer u deze functie inschakelt, hebben gebruikers en groepen in de groep Project-Scoped Gebruikers alleen toegang tot de projecten waaraan u ze expliciet toevoegt. De functie beperkt ook hun toegang tot organisatie-instellingen en identiteiten in velden waarin je personen kunt selecteren.
Waarschuwing
Houd rekening met de volgende beperkingen bij het gebruik van deze preview-functie:
- De beperkte zichtbaarheidsfuncties die in deze sectie worden beschreven, zijn alleen van toepassing op interacties via de webportal. Met behulp van de REST API's of
az devopsCLI-opdrachten hebben projectleden toegang tot de beperkte gegevens. - Gebruikers in de beperkte groep kunnen alleen gebruikers selecteren die expliciet zijn toegevoegd aan Azure DevOps en niet gebruikers die toegang hebben via microsoft Entra-groepslidmaatschap.
- Gastgebruikers die lid zijn van de beperkte groep met standaardtoegang in Microsoft Entra ID, kunnen niet zoeken naar gebruikers met de personenkiezer.
Zie De zichtbaarheid van gebruikers beperken voor installatiestappen en -beperkingen.
Notitie
Beveiligingsgroepen worden beheerd op organisatieniveau, zelfs als ze worden gebruikt voor specifieke projecten. Afhankelijk van gebruikersmachtigingen zijn sommige groepen mogelijk verborgen in de webportal. Als u alle groepsnamen binnen een organisatie wilt weergeven, kunt u het Azure DevOps CLI-hulpprogramma of REST API's gebruiken. Zie Beveiligingsgroepen toevoegen en beheren voor meer informatie.
Notitie
Beveiligingsgroepen worden beheerd op verzamelingsniveau, zelfs als ze worden gebruikt voor specifieke projecten. Afhankelijk van gebruikersmachtigingen zijn sommige groepen mogelijk verborgen in de webportal. Als u alle groepsnamen in een verzameling wilt weergeven, kunt u het Azure DevOps CLI-hulpprogramma of REST API's gebruiken. Zie Beveiligingsgroepen toevoegen en beheren voor meer informatie.
Machtigingen op basis van rollen
Met machtigingen op basis van rollen wijst u gebruikersaccounts of beveiligingsgroepen toe aan een rol en heeft elke rol een of meer machtigingen. De volgende resources ondersteunen machtigingen op basis van rollen:
- Beveiligingsrollen voor artifacts of pakketfeeds
- Marketplace-extensiebeheerrol
- Pijplijnbeveiligingsrollen
- Rol van teambeheerder
Zie Over pijplijnbeveiligingsrollen voor meer informatie.
In de volgende afbeelding ziet u hoe beveiligingsgroepen die zijn gedefinieerd op project- en verzamelingsniveau machtigingen kunnen toewijzen aan objecten, projecten en de organisatie.
In de volgende afbeelding ziet u hoe beveiligingsgroepen die zijn gedefinieerd op project- en verzamelingsniveau, kunnen worden toegewezen aan machtigingen die zijn toegewezen op object-, project- en verzamelingsniveau. U kunt alleen beveiligingsgroepen op serverniveau definiëren voor machtigingen op serverniveau.
Leden van de groepen Projectbeheerders of Projectverzamelingsbeheerders beheren alle teamhulpprogramma's voor alle teams.
Previewfuncties
Preview-functies bieden vroege toegang tot functionaliteit voordat deze algemeen beschikbaar wordt. Gebruikers kunnen preview-functies beheren die op gebruikersniveau worden aangeboden. Leden van de groep Project Verzamelingsbeheerders kunnen preview-functies op organisatieniveau beheren in Azure DevOps Services en preview-functies op verzamelingsniveau in Azure DevOps Server. Zie Functies beheren of inschakelen voor meer informatie.