Diretrizes de autenticação para Azure DevOps

Serviços Azure DevOps | Azure DevOps Server | Azure DevOps Server 2022

Use este artigo para escolher uma abordagem de autenticação para Azure DevOps no nível da organização. Ele aborda a postura de segurança, a governança e a manutenção de métodos comuns e, em seguida, vincula-se a diretrizes focadas em implementação.

Para obter detalhes de implementação no nível do aplicativo, consulte os métodos de autenticação para Azure DevOps.

Diferenças entre serviços e servidores

As opções de autenticação diferem entre Azure DevOps Services e Azure DevOps Server.

Platform Padrão recomendado Observações
Azure DevOps Services autenticação baseada em Microsoft Entra Use Microsoft Entra entrada para usuários e identidades de aplicativo Microsoft Entra para automação.
Azure DevOps Server autenticação do Windows, bibliotecas de cliente .NET ou PATs com suporte A entidade de serviço e os padrões de identidade gerenciada para autenticação Azure DevOps se aplicam aos Serviços Azure DevOps, não Azure DevOps Server.

Comparar opções comuns de autenticação

Use a tabela a seguir para comparar opções comuns para usuários, aplicativos, scripts e pipelines.

Método Mais adequado para Postura de segurança Gerenciamento de credenciais Funciona com Evitar quando
Microsoft Entra entrada do usuário Acesso interativo do usuário a organizações de Azure DevOps Opção forte com governança de identidade centralizada, acesso condicional e autenticação multifator Gerenciado por Microsoft Entra políticas de ciclo de vida e locatário Azure DevOps Services Você está implementando a automação autônoma de aplicativo para aplicativo
Identidade gerenciada automação hospedada Azure, como Azure Functions ou Serviço de Aplicativo Opção mais forte para automação hospedada Azure porque os tokens são de curta duração e Azure gerencia o ciclo de vida de identidade Nenhum segredo do cliente para armazenar ou girar Azure DevOps Services A carga de trabalho não é executada em Azure ou você precisa de uma identidade portátil entre ambientes
Entidade de serviço Automação fora Azure ou em vários ambientes e sistemas de CI/CD Opção forte quando você usa privilégios mínimos e padrões de credencial modernos Você gerencia a identidade e as credenciais do aplicativo, a menos que um fluxo federado remova segredos Azure DevOps Services Uma identidade gerenciada pode atender ao mesmo requisito em cargas de trabalho hospedadas Azure
conexão de serviço Azure DevOps Azure Pipelines acesso a recursos de Azure DevOps Opção forte para automação de pipeline porque usa federação de identidade de carga de trabalho e evita expansão de PAT em pipelines Gerenciado por meio Azure DevOps configurações de conexão de serviço Pipelines do Azure DevOps Services O cenário não é executado por Azure Pipelines
PAT (token de acesso pessoal) Scripts pessoais de curta duração, testes pontuais ou cenários de compatibilidade herdados Maior risco porque pats são segredos de portador de longa duração vinculados a contas de usuário Criação manual, armazenamento, rotação e revogação Serviços do Azure DevOps e Servidor do Azure DevOps Automação de produção em que a entidade de serviço, a identidade gerenciada ou a conexão de serviço estão disponíveis

Importante

Considere usar os tokens do Microsoft Entra mais seguros em vez dos tokens de acesso pessoal de maior risco. Para obter mais informações, consulte Reduzir o uso do PAT. Examine as diretrizes de autenticação para escolher o mecanismo de autenticação correto para suas necessidades.

  • Use Microsoft Entra entrada do usuário para acesso do usuário às organizações do Azure DevOps Services.
  • Use a identidade gerenciada primeiro para automação hospedada por Azure.
  • Use a entidade de serviço para automação não Azure ou entre ambientes.
  • Use Azure DevOps conexão de serviço quando Azure Pipelines precisar Azure DevOps acesso a recursos.
  • Use PATs apenas para cenários temporários, pessoais, herdados ou Azure DevOps Server em que opções mais seguras não se aplicam.

Quando usar PATs

Use PATs em cenários limitados, como:

  • Scripts ad hoc pessoais
  • Solução de problemas de API única
  • Ferramentas herdadas que não podem usar a autenticação baseada em Microsoft Entra
  • Azure DevOps Server cenários em que os fluxos de identidade de nuvem modernos não estão disponíveis

Quando você usa PATs:

  • Escopo-los para as permissões mínimas necessárias.
  • Use o menor tempo de vida prático.
  • Armazene-os e gire-os como segredos.
  • Substitua-as por opções baseadas em Microsoft Entra quando possível.

Para obter diretrizes sobre o ciclo de vida do PAT, consulte Usar tokens de acesso pessoal e gerenciar políticas de PAT.

Controles de política e governança

Use controles de organização e locatário para impor a postura de autenticação:

Lista de verificação de decisões

Antes de escolher um método de autenticação, confirme:

  • Isso é acesso interativo do usuário ou automação autônoma?
  • A carga de trabalho está hospedada em Azure ou fora de Azure?
  • A plataforma de destino é Azure DevOps Services ou Azure DevOps Server?
  • Esse cenário pode evitar credenciais de longa duração?
  • Os requisitos de política e auditoria da organização são atendidos?

Guias de implementação

  • Última atualização em