Kommentar
Åtkomst till den här sidan kräver auktorisering. Du kan prova att logga in eller ändra kataloger.
Åtkomst till den här sidan kräver auktorisering. Du kan prova att ändra kataloger.
Azure DevOps Services | Azure DevOps Server | Azure DevOps Server 2022
I den här artikeln får du lära dig mer om åtkomstnivåer och behörigheter via arv, säkerhetsgrupper, roller med mera i Azure DevOps.
En översikt över standardbehörigheter finns i Snabbreferens för standardbehörigheter.
Mer information finns i Säkerhetsöversikt.
Mer information om prestanda för stora organisationer finns i Rekommendationerna om behörighetsprestanda.
Tips/Råd
Du kan använda AI för att hjälpa till med Azure DevOps-uppgifter. Se Aktivera AI-hjälp med Azure DevOps MCP Server för att komma igång.
Åtkomstnivåer
Alla Azure DevOps-användare har en åtkomstnivå som ger eller begränsar åtkomsten till specifika webbportalfunktioner. Det finns tre huvudsakliga åtkomstnivåer: Intressent, Basic och Basic + Testplaner. Om du vill ge en användare åtkomst till funktioner för agil portföljhantering eller hantering av testfall ändrar du åtkomstnivåer, inte behörigheter. Mer information finns i Om åtkomstnivåer.
Behörigheter
Alla användare i Azure DevOps tillhör en eller flera standardsäkerhetsgrupper. Tilldela behörigheter till säkerhetsgrupper som antingen tillåter eller nekar åtkomst till funktioner eller uppgifter.
- Medlemmar ärver de behörigheter som tilldelats deras säkerhetsgrupp.
- Definiera behörigheter på olika nivåer: organisation/samling, projekt eller objekt.
- Hantera vissa behörigheter via rollbaserade tilldelningar (till exempel teamadministratör, tilläggshantering eller pipelineresursroller).
- Administratörer kan definiera anpassade säkerhetsgrupper för att hantera behörigheter för olika funktionella områden.
Hantering av behörigheter i Azure DevOps omfattar två nyckelgrupper: Projektsamlingsadministratörer och projektadministratörer.
Projektsamlingsadministratörer:
- Ha breda administrativa behörigheter inom en organisation eller projektsamling.
- Hantera inställningar, principer och processer för organisationen.
- Skapa och hantera projekt.
Projektadministratörer:
- Arbeta på projektnivå.
- Hantera säkerhetsgrupper och behörigheter från Project-inställningarna i webbportalen.
- Hantera behörigheter för specifika objekt som deltagare skapar i projektet.
Behörighetsstatus
Tilldela behörigheter för att bevilja eller begränsa åtkomst:
Användare eller grupp har behörighet:
- Tillåt
- Tillåt (ärvt)
- Tillåt (system)
Användare eller grupp har inte behörighet:
- Avvisa
- Neka (ärvt)
- Neka (system)
- Anges inte
| Behörighetstillstånd | beskrivning |
|---|---|
| Tillåt | Ger uttryckligen behörighet till den valda användaren eller gruppen i det aktuella omfånget. |
| Tillåt (ärvd) | Beviljar behörigheten via ett överordnat omfång eller gruppmedlemskap. |
| Tillåt (system) | Ger en behörighet som Azure DevOps hanterar. Du kan inte redigera systembehörigheter. |
| Deny (Neka) | Nekar uttryckligen behörigheten till den valda användaren eller gruppen i det aktuella omfånget. |
| Neka (ärvd) | Nekar behörigheten via ett överordnat omfång eller gruppmedlemskap. |
| Neka (system) | Nekar en behörighet som Azure DevOps hanterar. Du kan inte redigera systembehörigheter. |
| Inte inställt | Varken beviljar eller nekar behörigheten i det aktuella omfånget. Andra tillämpliga tilldelningar avgör den gällande behörigheten. |
Azure DevOps beräknar effektiva behörigheter från direkta tilldelningar, gruppmedlemskap och ärvda tilldelningar. När tilldelningar kombineras med samma omfång har Neka vanligtvis företräde framför Tillåt. I en objekthierarki kan en uttrycklig tilldelning på ett underordnat objekt ersätta det värde som ärvts från dess överordnade objekt för samma identitet.
Varning
När du ändrar en behörighet för en grupp påverkas alla användare i gruppen. Även en enskild behörighetsändring kan påverka hundratals användare, så tänk på de potentiella effekterna innan du gör några justeringar.
Arv av behörigheter
Behörigheter följer en hierarki så att du kan ärva behörigheter från en överordnad nod eller åsidosätta dem.
Grupparv:
- Användarna får de kombinerade behörigheterna för de grupper som de tillhör.
- I samma omfång har en Neka från en grupp vanligtvis företräde framför en Tillåt från en annan grupp.
- Inte inställd varken beviljar eller nekar en behörighet och åsidosätter inte en tilldelning från en annan grupp.
Arv på objektnivå:
Du tilldelar behörigheter på objektnivå till noder som områden, iterationer, versionskontrollmappar och frågemappar för arbetsobjekt. Dessa behörigheter ärvs ned i hierarkin.
Objekthierarkiregler:
- Behörigheter som anges på en nod på högre nivå ärvs av alla undernoder om de inte uttryckligen åsidosätts.
- Om en behörighet inte uttryckligen tillåts eller nekas för en undernod ärver den behörigheten från dess överordnade.
- Om en behörighet uttryckligen anges för en identitet på en undernod gäller inte värdet som ärvs från den överordnade för den identiteten på undernoden.
- När du har löst objekthierarkin kombinerar Azure DevOps tillämpliga direkt- och grupptilldelningar. En Neka från en annan grupp i det resulterande omfånget kan fortfarande ha företräde framför en Tillåt.
Exempel:
-
Neka uttryckligen på
area-1(överordnad nod). -
Tillåt uttryckligen för
area-1/sub-area-1(underordnad nod). - I det här fallet får användaren en Tillåt på
area-1/sub-area-1och åsidosätter den ärvda neka från den överordnade noden.
Om du vill förstå varför en behörighet ärvs väljer du Varför? för den behörigheten. Information om hur du öppnar en säkerhetssida finns i Visa behörigheter.
En ny dialogruta öppnas som visar arvsinformationen för den behörigheten.
Ett nytt fönster visar arvsinformationen för den behörigheten.
Säkerhetsgrupper och medlemskap
Säkerhetsgrupper tilldelar specifika behörigheter till sina medlemmar.
När du skapar en organisation, en samling eller ett projekt skapar Azure DevOps en uppsättning standardsäkerhetsgrupper och tilldelar automatiskt standardbehörigheter till dessa grupper. Du definierar fler säkerhetsgrupper med hjälp av följande åtgärder:
- Skapa anpassade säkerhetsgrupper på följande nivåer:
- Projektnivå
- Organisations- eller samlingsnivå
- Servernivå (endast lokalt)
- Lägga till ett team som skapar en gruppsäkerhetsgrupp
Du kan inte skapa en säkerhetsgrupp på objektnivå, men du kan tilldela en anpassad grupp till en objektnivå och tilldela behörigheter till den nivån. Mer information finns i Ange behörigheter på objektnivå.
Standardsäkerhetsgrupper
De flesta Azure DevOps-användare läggs till i säkerhetsgruppen Deltagare och beviljas åtkomstnivån Grundläggande . Gruppen Deltagare ger läs- och skrivåtkomst till lagringsplatser, arbetsspårning, pipelines med mera. Grundläggande åtkomst ger åtkomst till alla funktioner och uppgifter för att använda Azure-tavlor, Azure-lagringsplatser, Azure-pipelines och Azure Artifacts. Användare som behöver åtkomst för att hantera Azure Test Plans kräver Grundläggande + testplaner eller en tillämplig Visual Studio prenumerationsförmån.
Följande säkerhetsgrupper definieras som standard för varje projekt och organisation. Du lägger vanligtvis till användare eller grupper i grupperna Läsare, Deltagare eller Projektadministratörer .
| Projekt | Organisation eller samling |
|---|---|
| – Skapa administratörer -Bidragsgivare – Projektadministratörer - Giltiga användare i projektet -Läsare – Versionsadministratörer - TeamName-teamet |
– Projektsamlingsadministratörer – Byggadministratörer för projektsamling - Tjänstkonton för Projektsamlingens Byggtjänst – Proxytjänstkonton för projektsamling – Tjänstkonton för projektsamling – Testtjänstkonton för projektsamling – Giltiga användare i projektsamlingen – Projektomfattande användare – Säkerhetstjänstgrupp |
En beskrivning av var och en av dessa grupper finns i Säkerhetsgrupper, tjänstkonton och behörigheter. För standardbehörighetstilldelningar som görs till de vanligaste standardsäkerhetsgrupperna, se Standardbehörigheter och åtkomst.
Följande säkerhetsgrupper definieras som standard för varje projekt och projektsamling. Du lägger vanligtvis till användare eller grupper i grupperna Läsare, Deltagare eller Projektadministratörer .
Lägg bara till tjänstkonton i Azure DevOps-tjänstkontogrupper. Information om giltiga användargrupper finns i Giltiga användargrupper senare i den här artikeln.
| Projektnivå | Samlingsnivå |
|---|---|
| – Skapa administratörer -Bidragsgivare – Projektadministratörer - Giltiga användare i projektet -Läsare – Versionsadministratörer - TeamName-teamet |
– Projektsamlingsadministratörer – Byggadministratörer för projektsamling - Tjänstkonton för Projektsamlingens Byggtjänst – Proxytjänstkonton för projektsamling – Tjänstkonton för projektsamling – Testtjänstkonton för projektsamling – Giltiga användare i projektsamlingen – Säkerhetstjänstgrupp |
Lägg till användare som hanterar funktioner på projektnivå i gruppen Projektadministratörer . Dessa funktioner omfattar team, områdes- och iterationssökvägar, lagringsplatser, tjänstkrokar och tjänstslutpunkter.
Lägg till användare som hanterar funktioner på organisations- eller samlingsnivå i gruppen Administratörer för projektsamling . Dessa funktioner omfattar projekt, principer, processer, kvarhållningsprinciper, agent- och distributionspooler och tillägg. Mer information finns i Om inställningar på användar-, team-, projekt- och organisationsnivå.
Hantering av medlemskap, behörighet och åtkomstnivå
Azure DevOps styr åtkomsten via dessa tre sammankopplade funktionella områden:
- Medlemskapshantering stöder tillägg av enskilda användarkonton och grupper i standardsäkerhetsgrupper. Varje standardgrupp är associerad med en uppsättning standardbehörigheter. Alla användare som läggs till i en säkerhetsgrupp läggs till i gruppen Giltiga användare. En giltig användare är någon som kan ansluta till ett projekt, en samling eller en organisation.
- Behörighetshantering styr åtkomsten till specifika funktionella uppgifter på olika nivåer i systemet. Behörigheter på objektnivå anger behörigheter för en fil, mapp, bygg-pipeline eller en delad fråga. Behörighetsinställningarna motsvarar Tillåt, Neka, Ärvd tillåt, Ärvd neka, System tillåt, System neka och Inte inställd.
- Åtkomstnivåhantering styr åtkomsten till webbportalfunktioner. Baserat på licensiering och användarens roll tilldelar administratörer intressent, grundläggande, grundläggande och testplaner eller en tillämplig Visual Studio prenumerationsåtkomstnivå.
Varje funktionsområde använder säkerhetsgrupper för att förenkla hanteringen i hela distributionen. Du lägger till användare och grupper genom webbadministrationskontexten. Behörigheter anges automatiskt baserat på den säkerhetsgrupp som du lägger till användare i. Eller behörigheter baseras på objekt-, projekt-, samlings- eller servernivå som du lägger till grupper till.
Medlemmar i säkerhetsgrupper kan vara en kombination av användare, andra grupper och Microsoft Entra-grupper.
Medlemmar i säkerhetsgrupper kan vara en kombination av användare, andra grupper och služba Active Directory-grupper eller en arbetsgrupp.
Du kan skapa lokala grupper eller služba Active Directory-grupper (AD) för att hantera dina användare.
služba Active Directory- och Microsoft Entra-säkerhetsgrupper
Du kan fylla i säkerhetsgrupper genom att lägga till enskilda användare. Men för enkel hantering är det mer effektivt att fylla i dessa grupper med hjälp av Microsoft Entra-ID för Azure DevOps Services och služba Active Directory (AD) eller Windows-användargrupper för Azure DevOps Server. Med den här metoden kan du hantera gruppmedlemskap och behörigheter mer effektivt på flera datorer.
Om du bara behöver hantera en liten uppsättning användare kan du hoppa över det här steget. Men om du förväntar dig att din organisation kan växa kan du överväga att konfigurera služba Active Directory eller Microsoft Entra-ID. Om du planerar att använda extra tjänster är det också viktigt att konfigurera Microsoft Entra-ID för användning med Azure DevOps för att stödja fakturering.
Anmärkning
Utan Microsoft Entra-ID måste alla Azure DevOps-användare logga in med Microsoft-konton och du måste hantera kontoåtkomst för enskilda användarkonton. Även om du hanterar kontoåtkomst med hjälp av Microsoft-konton konfigurerar du en Azure-prenumeration för att hantera fakturering.
Information om hur du konfigurerar Microsoft Entra-ID för användning med Azure DevOps Services finns i Ansluta din organisation till Microsoft Entra-ID.
När din organisation är ansluten till Microsoft Entra-ID kan du definiera och hantera olika organisationsprinciper för att förbättra säkerheten och effektivisera åtkomsten till program. Mer information finns i Om säkerhet, säkerhetsprinciper.
Information om hur du hanterar organisationsåtkomst med Microsoft Entra-ID finns i följande artiklar:
Azure DevOps registrerar ändringar som gjorts i en Microsoft Entra-grupp inom en timme efter ändringen i Microsoft Entra ID. Alla ärvda behörigheter via gruppmedlemskap uppdateras. Om du vill uppdatera ditt Microsoft Entra-medlemskap och ärvda behörigheter i Azure DevOps loggar du ut och loggar sedan in igen eller utlöser en uppdatering för att omvärdera din behörighet.
Information om hur du konfigurerar služba Active Directory för användning med Azure DevOps Server finns i följande artiklar:
- Installera Active Directory-domäntjänster (nivå 100)
- Active Directory-domäntjänster Att komma igång.
Installera služba Active Directory innan du installerar Azure DevOps Server.
Giltiga användargrupper
När du lägger till användarkonton direkt i en säkerhetsgrupp blir användarna automatiskt en del av någon av följande giltiga användargrupper.
- Giltiga användare för projektsamling: Alla medlemmar har lagts till i en grupp på organisationsnivå.
- Giltiga projektanvändare: Alla medlemmar har lagts till i en grupp på projektnivå.
- Server\Azure DevOps Giltiga användare: Alla medlemmar har lagts till i grupper på servernivå.
- ProjectCollectionName\Project Collection Giltiga användare: Alla medlemmar har lagts till i grupper på samlingsnivå.
- ProjectName\Project Valid Users: Alla medlemmar har lagts till i grupper på projektnivå.
Standardbehörigheterna som tilldelas dessa grupper ger främst läsåtkomst, till exempel Visa byggresurser, Visa information på projektnivå och Visa information på samlingsnivå.
För att få åtkomst till projektresurser behöver en användare Visa information på projektnivå och eventuella behörigheter som krävs för den specifika resursen. Behörigheter för områdessökväg styr åtkomsten till arbetsobjekt och testar artefakter i ett projekt. de styr inte om en användare kan komma åt projektet. Ändra inte standardbehörigheterna för gruppen Giltiga användare. Om du nekar Visa information på projektnivå, Visa information på samlingsnivå eller Visa information på instansnivå till en av dessa grupper kan alla dess medlemmar blockeras från motsvarande omfång.
Grupp med projektomfattningsanvändare
Som standard kan användare som du lägger till i en organisation visa organisations- och projektinformation utöver de projekt som de är medlemmar i.
Om du vill begränsa specifika användare, till exempel Intressenter, Microsoft Entra-gästanvändare eller medlemmar i en viss säkerhetsgrupp, kan du aktivera funktionen Begränsa användarnas synlighet och samarbete till specifika projekts förhandsversion för organisationen. När du aktiverar den här funktionen kan användare och grupper i gruppen Project-Scoped Användare endast komma åt de projekt som du uttryckligen lägger till dem i. Funktionen begränsar även deras åtkomst till organisationsinställningar och identiteter i personväljare.
Varning
Tänk på följande begränsningar när du använder den här förhandsgranskningsfunktionen:
- Funktionerna för begränsad synlighet som beskrivs i det här avsnittet gäller endast interaktioner via webbportalen. Med hjälp av REST-API:er eller
az devopsCLI-kommandon kan projektmedlemmar komma åt begränsade data. - Användare i den begränsade gruppen kan bara välja användare som uttryckligen läggs till i Azure DevOps och inte användare som har åtkomst via Microsoft Entra-gruppmedlemskap.
- Gästanvändare som är medlemmar i den begränsade gruppen med standardåtkomst i Microsoft Entra-ID kan inte söka efter användare med personväljaren.
Installationssteg och begränsningar finns i Begränsa användarens synlighet.
Anmärkning
Säkerhetsgrupper hanteras på organisationsnivå, även om de används för specifika projekt. Beroende på användarbehörigheter kan vissa grupper vara dolda i webbportalen. Om du vill visa alla gruppnamn i en organisation kan du använda Azure DevOps CLI-verktyget eller REST API:er. Mer information finns i Lägga till och hantera säkerhetsgrupper.
Anmärkning
Säkerhetsgrupper hanteras på samlingsnivå, även om de används för specifika projekt. Beroende på användarbehörigheter kan vissa grupper vara dolda i webbportalen. Om du vill visa alla gruppnamn i en samling kan du använda Azure DevOps CLI-verktyget eller REST API:er. Mer information finns i Lägga till och hantera säkerhetsgrupper.
Rollbaserade behörigheter
Med rollbaserade behörigheter tilldelar du användarkonton eller säkerhetsgrupper till en roll och varje roll har en eller flera behörigheter. Följande resurser stöder rollbaserade behörigheter:
- Säkerhetsroller för artefakt eller paketflöde
- Rollen För Marketplace-tilläggshanteraren
- Pipeline-säkerhetsroller
- Gruppadministratörsroll
Mer information finns i Om pipelinesäkerhetsroller.
Följande bild visar hur säkerhetsgrupper som definierats på projekt- och samlingsnivå kan tilldela behörigheter till objekt, projekt och organisationen.
Följande bild visar hur säkerhetsgrupper som definierats på projekt- och samlingsnivå kan tilldelas behörigheter som tilldelats på objekt-, projekt- och samlingsnivå. Du kan bara definiera säkerhetsgrupper på servernivå till behörigheter på servernivå.
Medlemmar i grupperna Projektadministratörer eller Projektsamlingsadministratörer hanterar alla teamverktyg för alla team.
Förhandsfunktioner
Förhandsversionsfunktioner ger tidig åtkomst till funktioner innan de blir allmänt tillgängliga. Användare kan hantera förhandsversionsfunktioner som erbjuds på användarnivå. Medlemmar i gruppen Project-samlingsadministratörer kan hantera förhandsversionsfunktioner på organisationsnivå i Azure DevOps Services och förhandsversionsfunktioner på samlingsnivå i Azure DevOps Server. Mer information finns i Hantera eller aktivera funktioner.