Autentiseringsvägledning för Azure DevOps

Azure DevOps Services | Azure DevOps Server | Azure DevOps Server 2022

Använd den här artikeln om du vill välja en autentiseringsmetod för Azure DevOps på organisationsnivå. Den omfattar säkerhetsstatus, styrning och underhåll för vanliga metoder och länkar sedan till implementeringsfokuserad vägledning.

Information om implementering på appnivå finns i Autentiseringsmetoder för Azure DevOps.

Skillnader mellan tjänster och servrar

Autentiseringsalternativen skiljer sig åt mellan Azure DevOps Services och Azure DevOps Server.

Platform Rekommenderad standard Notes
Azure DevOps Services Microsoft Entra-baserad autentisering Använd Microsoft Entra inloggning för användare och Microsoft Entra programidentiteter för automatisering.
Azure DevOps Server Windows authentication, .NET klientbibliotek eller PAT där det stöds Tjänstens huvudnamn och hanterade identitetsmönster för Azure DevOps autentisering gäller för Azure DevOps Services, inte Azure DevOps Server.

Jämföra vanliga autentiseringsalternativ

Använd följande tabell för att jämföra vanliga alternativ för användare, appar, skript och pipelines.

Method Bäst för Säkerhetsstatus Hantering av autentiseringsuppgifter Fungerar med Undvik när
Microsoft Entra användarinloggning Interaktiv användaråtkomst till Azure DevOps organisationer Starkt alternativ med centraliserad identitetsstyrning, villkorsstyrd åtkomst och multifaktorautentisering Hanteras av Microsoft Entra livscykel- och klientprinciper Azure DevOps Services Du implementerar obevakad app-till-app-automatisering
Hanterad identitet Azure värdbaserad automatisering, till exempel Azure Functions eller App Service Det starkaste alternativet för Azure värdbaserad automatisering eftersom token är kortvariga och Azure hanterar identitetslivscykeln Ingen klienthemlighet att lagra eller rotera Azure DevOps Services Arbetsbelastningen körs inte på Azure, eller så behöver du en bärbar identitet i olika miljöer
Service Principal Automatisering utanför Azure eller i flera miljöer och CI/CD-system Starkt alternativ när du använder mönster för lägsta behörighet och moderna autentiseringsuppgifter Du hanterar appidentitet och autentiseringsuppgifter om inte ett federerat flöde tar bort hemligheter Azure DevOps Services En hanterad identitet kan uppfylla samma krav på Azure värdbaserade arbetsbelastningar
Azure DevOps tjänstanslutning Azure-pipelines åtkomst till Azure DevOps resurser Starkt alternativ för pipelineautomatisering eftersom den använder arbetsbelastningsidentitetsfederation och undviker PAT-spridning i pipelines Hanteras via Azure DevOps tjänstanslutningsinställningar Azure DevOps Services-pipelines Scenariot går inte igenom Azure-pipelines
Personlig åtkomsttoken (PAT) Kortlivade personliga skript, engångstestning eller äldre kompatibilitetsscenarier Högsta risk eftersom PAT är långlivade ägarhemligheter knutna till användarkonton Manuellt skapande, lagring, rotation och återkallande Azure DevOps Services och Azure DevOps Server Produktionsautomatisering där tjänstens huvudnamn, hanterade identitet eller tjänstanslutning är tillgänglig

Important

Överväg att använda säkrare Microsoft Entra-token över personliga åtkomsttoken med högre risk. Mer information finns i Minska PAT-användningen. Läs autentiseringsvägledningen för att välja rätt autentiseringsmekanism för dina behov.

  • Använd Microsoft Entra användarinloggning för användaråtkomst till Azure DevOps Services-organisationer.
  • Använd först hanterad identitet för Azure-värdbaserad automatisering.
  • Använd tjänstens huvudnamn för icke-Azure eller automatisering mellan miljöer.
  • Använd Azure DevOps tjänstanslutning när Azure-pipelines behöver Azure DevOps resursåtkomst.
  • Använd endast PAT:er för tillfälliga, personliga, äldre eller Azure DevOps Server scenarier där säkrare alternativ inte gäller.

När du ska använda PAT

Använd PAT i begränsade scenarier, till exempel:

  • Personliga ad hoc-skript
  • Engångs-API-felsökning
  • Äldre verktyg som inte kan använda Microsoft Entra-baserad autentisering
  • Azure DevOps Server scenarier där moderna molnidentitetsflöden inte är tillgängliga

När du använder PAT:er:

  • Begränsa dem till de behörigheter som krävs.
  • Använd den kortaste praktiska livslängden.
  • Lagra och rotera dem som hemligheter.
  • Ersätt dem med Microsoft Entra-baserade alternativ när det är möjligt.

Vägledning för PAT-livscykel finns i Använda personliga åtkomsttoken och Hantera PAT-principer.

Princip- och styrningskontroller

Använd organisations- och klientkontroll för att framtvinga autentiseringsstatus:

Checklista för beslut

Bekräfta innan du väljer en autentiseringsmetod:

  • Är den här användarinteraktiva åtkomsten eller obevakad automatisering?
  • Finns arbetsbelastningen i Azure eller utanför Azure?
  • Är målplattformen Azure DevOps Services eller Azure DevOps Server?
  • Kan det här scenariot undvika långlivade autentiseringsuppgifter?
  • Uppfylls organisationens princip- och granskningskrav?

Implementeringsguider

  • Uppdaterades senast