Orientação de autenticação para Azure DevOps

Serviços de DevOps do Azure | Azure DevOps Server | Azure DevOps Server 2022

Use este artigo para escolher uma abordagem de autenticação para Azure DevOps ao nível da organização. Abrange postura de segurança, governação e mantibilidade para métodos comuns, e depois liga a orientações focadas na implementação.

Para detalhes de implementação ao nível da aplicação, consulte Métodos de autenticação para Azure DevOps.

Diferenças entre serviços e servidores

As opções de autenticação diferem entre Azure DevOps Services e Azure DevOps Server.

Platform Padrão recomendado Observações
Serviços de DevOps do Azure Autenticação baseada no Microsoft Entra Use o login Microsoft Entra para os utilizadores e as identidades das aplicações Microsoft Entra para automação.
Azure DevOps Server Windows authentication, bibliotecas de clientes .NET ou PATs quando suportados Service principal e padrões de identidade gerida para autenticação Azure DevOps aplicam-se ao Azure DevOps Services, não ao Azure DevOps Server.

Compare as escolhas comuns de autenticação

Use a tabela seguinte para comparar as escolhas comuns para utilizadores, aplicações, scripts e pipelines.

Método Melhor para Postura de segurança Gestão de credenciais Obras com Evite quando
Microsoft Entra login de utilizador Acesso interativo do utilizador às organizações Azure DevOps Opção forte com governação centralizada de identidade, Acesso Condicional e autenticação multifator Gerido pelo ciclo de vida e pelas políticas de inquilino da Microsoft Entra Serviços de DevOps do Azure Está a implementar automação não acompanhada de aplicação para aplicação
Identidade gerenciada Automação hospedada no Azure, como Funções do Azure ou App Service A opção mais forte para automação alojada no Azure porque os tokens são de curta duração e o Azure gere o ciclo de vida da identidade Nenhum segredo do cliente para armazenar ou rodar Serviços de DevOps do Azure A carga de trabalho não corre no Azure, ou então precisas de uma identidade portátil entre ambientes
Serviço principal Automação fora do Azure ou em múltiplos ambientes e sistemas CI/CD Opção forte quando se usa o mínimo privilégio e padrões modernos de credenciais Geres a identidade da aplicação e as credenciais, a menos que um fluxo federado remova segredos Serviços de DevOps do Azure Uma identidade gerida pode cumprir o mesmo requisito em cargas de trabalho alojadas no Azure
Conexão de serviço do Azure DevOps Azure Pipelines access to Azure DevOps resources Opção forte para automação de pipelines porque utiliza a federação de identidade de carga de trabalho e evita o PAT sprawl em pipelines Managed through Azure DevOps service connection settings Azure DevOps Services pipelines O cenário não é executado através do Azure Pipelines
Token de acesso pessoal (PAT) Scripts pessoais de curta duração, testes pontuais ou cenários de compatibilidade legados Maior risco porque os PATs são segredos portadores de longa duração ligados a contas de utilizador Criação manual, armazenamento, rotação e revogação Azure DevOps Services e Azure DevOps Server Automação de produção onde está disponível o principal de serviço, identidade gerida ou ligação ao serviço

Importante

Considere usar os tokens Microsoft Entra, que são mais seguros, ao invés dos tokens de acesso pessoal, que possuem maior risco. Para mais informações, consulte Reduzir o uso do PAT. Consulte as orientações de autenticação para escolher o mecanismo de autenticação adequado às suas necessidades.

  • Use o login de utilizador do Microsoft Entra para acesso de utilizador às organizações Azure DevOps Services.
  • Use a identidade gerida primeiro para automação alojada no Azure.
  • Use o principal de serviço para automação não-Azure ou entre ambientes.
  • Use Azure DevOps service connection when Azure Pipelines needs Azure DevOps resource access.
  • Use PATs apenas para cenários temporários, pessoais, legados ou Azure DevOps Server onde opções mais seguras não se aplicam.

Quando usar PATs

Utilize PATs em cenários limitados, tais como:

  • Scripts pessoais ad hoc
  • Resolução de problemas de API pontual
  • Ferramentas legadas que não podem usar autenticação baseada no Microsoft Entra
  • Cenários do Azure DevOps Server onde fluxos modernos de identidade na cloud não estão disponíveis

Quando usa PATs:

  • Defina-as até ao mínimo de permissões necessárias.
  • Use a vida útil mais curta possível.
  • Guarde-os e rode como segredos.
  • Substitua-os por opções baseadas no Microsoft Entra sempre que possível.

Para orientações sobre o ciclo de vida dos PAT, consulte Utilizar tokens de acesso pessoal e Gerir políticas de PAT.

Controlos de políticas e governação

Utilize controlos de organização e de inquilinos para impor a postura de autenticação:

Lista de verificação de decisão

Antes de escolher um método de autenticação, confirme:

  • Isto é acesso interativo pelo utilizador ou automação desatendida?
  • A carga de trabalho está alojada no Azure ou fora do Azure?
  • A plataforma de destino é Azure DevOps Services ou Azure DevOps Server?
  • Será que este cenário pode evitar credenciais duradouras?
  • As políticas organizacionais e os requisitos de auditoria são cumpridos?

Guias de implementação

  • Última atualização a