Autenticar-se no Azure DevOps com o Microsoft Entra ID

Serviços do Azure DevOps

Use este artigo para escolher um fluxo de autenticação Microsoft Entra ID para aplicativos que acessam Azure DevOps Services.

Visão geral

A ID do Microsoft Entra é a plataforma de gerenciamento de acesso e identidade baseada em nuvem da Microsoft que permite às organizações:

• Gerenciar identidades de usuário e controlar o acesso aos recursos.
• Aplique políticas de segurança, como autenticação multifator e Acesso Condicional do Microsoft Entra, a cenários de entrada compatíveis.
• Integre-se a milhares de aplicativos, incluindo o Azure DevOps Services.
• Forneça logon único em serviços da Microsoft e não da Microsoft.

Muitos clientes empresariais do Azure DevOps conectam sua organização do Azure DevOps à ID do Microsoft Entra para usar esses recursos e recursos de segurança aprimorados.

Opções de autenticação

A plataforma de Identidade da Microsoft fornece dois padrões de autenticação primários para acesso ao Azure DevOps.

Delegação do usuário (OAuth)

Melhor para: aplicativos interativos que atuam em nome dos usuários

• Os usuários entrarão com suas credenciais de ID do Microsoft Entra.
• Os aplicativos atuam no nível de acesso Azure DevOps do usuário conectado e nas permissões.
• A autenticação multifator e as políticas de Acesso Condicional do Microsoft Entra avaliam os logons de usuário.
• Esse padrão funciona bem para aplicativos Web, aplicativos da área de trabalho e outras ferramentas voltadas para o usuário.

Introdução: Implementação do Microsoft Entra ID OAuth

Identidade da aplicação (principais de serviço e identidades gerenciadas)

Melhor para: serviços em segundo plano e cenários de automação

• Os aplicativos são autenticados usando sua própria identidade (não credenciais de usuário).
• Esse padrão funciona bem para pipelines de CI/CD (integração contínua e entrega contínua), serviços em segundo plano e ferramentas automatizadas.
• Adicione a identidade à organização Azure DevOps e atribua o nível de acesso e as permissões necessários.
• Use identidades gerenciadas para aplicativos hospedados Azure. Use entidades de serviço com federação de identidade de carga de trabalho, certificados ou segredos de cliente para outros aplicativos.

Introdução: Principais de serviço e identidades gerenciadas

Por que usar Microsoft Entra ID autenticação

Microsoft Entra ID centraliza o ciclo de vida de identidade e os controles de acesso para usuários e aplicativos.

Controles de identidade e credencial

• A autenticação do usuário pode usar logon único, autenticação multifator e políticas de Acesso Condicional com suporte.
• Identidades gerenciadas e federação de identidade de carga de trabalho podem evitar o armazenamento de segredos de aplicativo em cenários com suporte.
• Os administradores podem desabilitar uma identidade ou alterar seu acesso Azure DevOps sem atualizar cada aplicativo.

O comportamento de acesso condicional depende do fluxo de identidade e autenticação. Para ver as limitações da identidade de carga de trabalho, consulte Entidades de Serviço e Identidades Gerenciadas.

Integração empresarial

• Autenticação única entre aplicativos da Microsoft e de outras empresas
• Gerenciamento de identidade centralizado para usuários e aplicativos
• Aplicação de políticas para identidades compatíveis e cenários de autenticação
• Recursos de auditoria e conformidade para requisitos de governança

Experiência do desenvolvedor

• Bibliotecas de autenticação da Microsoft que obtêm e armazenam tokens em cache
• Plataforma de identidade consistente em todos os serviços da Microsoft
• Documentação avançada e exemplos para implementação rápida
• Suporte ativo e desenvolvimento com atualizações regulares de recursos

Gerenciar tokens de acesso

Trate Microsoft Entra tokens de acesso como credenciais confidenciais e opacas. Não interprete um token nem defina seu tempo de vida diretamente no código. Use as informações de expiração retornadas com o token e use Biblioteca do Microsoft Authenticator (MSAL) ou Azure Identity para armazenar tokens em cache e adquirir outro token quando necessário. Se um token pode ser renovado sem interação do usuário depende do fluxo de autenticação, do estado da sessão e das políticas aplicáveis.

Migrar da autenticação herdada

Azure DevOps OAuth foi preterido e Microsoft não aceita mais novos registros de aplicativo a partir de abril de 2025. Use Microsoft Entra ID OAuth para novos aplicativos e migre aplicativos OAuth Azure DevOps existentes. Para consultar as datas atuais de descontinuação, veja o anúncio da descontinuação do OAuth do Azure DevOps.

As organizações adotam cada vez mais políticas de segurança que restringem a criação do PAT (token de acesso pessoal) devido a riscos de segurança. A autenticação da ID do Microsoft Entra fornece alternativas seguras para cenários comuns de PAT.