Verificatierichtlijnen voor Azure DevOps

Azure DevOps Services | Azure DevOps Server | Azure DevOps Server 2022

Gebruik dit artikel om een verificatiemethode te kiezen voor Azure DevOps op organisatieniveau. Het behandelt beveiligingspostuur, governance en onderhoudbaarheid voor algemene methoden en koppelt vervolgens koppelingen naar richtlijnen die gericht zijn op de implementatie.

Zie Verificatiemethoden voor Azure DevOps voor informatie over implementatie op app-niveau.

Verschillen tussen services en servers

Verificatieopties verschillen tussen Azure DevOps Services en Azure DevOps Server.

Platform Aanbevolen standaard Aantekeningen
Azure DevOps Services verificatie op basis van Microsoft Entra Gebruik Microsoft Entra aanmelding voor gebruikers en Microsoft Entra toepassingsidentiteiten voor automatisering.
Azure DevOps Server Windows authentication, .NET clientbibliotheken of PAT's waarvoor ondersteuning wordt geboden Service-principal- en beheerde identiteitspatronen voor Azure DevOps-verificatie zijn van toepassing op Azure DevOps Services, niet op Azure DevOps Server.

Algemene verificatieopties vergelijken

Gebruik de volgende tabel om algemene keuzes te vergelijken voor gebruikers, apps, scripts en pijplijnen.

Method Geschikt voor Beveiligingspostuur Referentiebeheer Werkt met Vermijden wanneer
gebruikersaanmelding Microsoft Entra Interactieve gebruikerstoegang tot Azure DevOps organisaties Sterke optie met gecentraliseerd identiteitsbeheer, voorwaardelijke toegang en meervoudige verificatie Beheerd door Microsoft Entra levenscyclus- en tenantbeleid Azure DevOps Services U implementeert automatisering van apps zonder toezicht
Beheerde identiteit Azure-hostende automatisering, zoals Azure Functions of App Service Sterkste optie voor Azure gehoste automatisering, omdat tokens korte levensduur hebben en Azure identiteitslevenscyclus beheert Geen clientgeheim om op te slaan of te draaien Azure DevOps Services De workload wordt niet uitgevoerd op Azure of u hebt een draagbare identiteit nodig in omgevingen
Service Principal Automatisering buiten Azure of in meerdere omgevingen en CI/CD-systemen Sterke optie wanneer u minimale bevoegdheden en moderne referentiepatronen gebruikt U beheert app-identiteit en -referenties, tenzij een federatieve stroom geheimen verwijdert Azure DevOps Services Een beheerde identiteit kan voldoen aan dezelfde vereiste voor Azure gehoste workloads
Azure DevOps serviceverbinding Azure-pipelines toegang tot Azure DevOps resources Sterke optie voor pijplijnautomatisering omdat deze gebruikmaakt van workloadidentiteitsfederatie en pat-sprawl in pijplijnen vermijdt Beheerd via Azure DevOps serviceverbindingsinstellingen Azure DevOps Services-pijplijnen Het scenario wordt niet uitgevoerd Azure-pipelines
Persoonlijk toegangstoken (PAT) Kortdurende persoonlijke scripts, eenmalige tests of verouderde compatibiliteitsscenario's Hoogste risico omdat PAW's lange levensduur bearergeheimen zijn die zijn gekoppeld aan gebruikersaccounts Handmatig maken, opslaan, draaien en intrekken Azure DevOps Services en Azure DevOps Server Productieautomatisering waarbij service-principal, beheerde identiteit of serviceverbinding beschikbaar is

Important

Overweeg om de veiligere Microsoft Entra-tokens te gebruiken, in plaats van de meer risicovolle persoonlijke toegangstokens. Zie Pat-gebruik verminderen voor meer informatie. Bekijk de verificatierichtlijnen om het juiste verificatiemechanisme voor uw behoeften te kiezen.

  • Gebruik Microsoft Entra gebruikersaanmelding voor gebruikerstoegang tot Azure DevOps Services-organisaties.
  • Gebruik eerst beheerde identiteit voor Azure gehoste automatisering.
  • Gebruik service-principal voor niet-Azure of automatisering tussen omgevingen.
  • Gebruik Azure DevOps serviceverbinding wanneer Azure-pipelines Azure DevOps resourcetoegang nodig heeft.
  • Gebruik ALLEEN PAW's voor tijdelijke, persoonlijke, verouderde of Azure DevOps Server scenario's waarbij veiligere opties niet van toepassing zijn.

Wanneer gebruikt u PAT's?

GEBRUIK PAT's in beperkte scenario's, zoals:

  • Persoonlijke ad-hocscripts
  • Eenmalige API-probleemoplossing
  • Verouderde hulpprogramma's die geen gebruik kunnen maken van verificatie op basis van Microsoft Entra
  • Azure DevOps Server scenario's waarin moderne cloudidentiteitsstromen niet beschikbaar zijn

Wanneer u PAT's gebruikt:

  • Beperk ze tot de minimaal vereiste machtigingen.
  • Gebruik de kortste praktische levensduur.
  • Sla ze op en draai ze als geheimen.
  • Vervang deze indien mogelijk door Microsoft Entra op basis van opties.

Zie Persoonlijke toegangstokens gebruiken en PAT-beleid beheren voor richtlijnen voor de levenscyclus van PAT.

Besturingselementen voor beleid en governance

Organisatie- en tenantbesturingselementen gebruiken om verificatiepostuur af te dwingen:

Controlelijst voor beslissingen

Voordat u een verificatiemethode kiest, moet u het volgende bevestigen:

  • Is deze gebruikers-interactieve toegang of automatisering zonder toezicht?
  • Wordt de workload gehost in Azure of buiten Azure?
  • Is het doelplatform Azure DevOps Services of Azure DevOps Server?
  • Kan dit scenario langdurige referenties voorkomen?
  • Voldoet aan de vereisten voor organisatiebeleid en controle?

Implementatiehandleidingen

  • Last updated on