Säkra lagringsplatser och pull-begäranden

Azure DevOps Services | Azure DevOps Server | Azure DevOps Server 2022

Skydda Azure-lagringsplatser genom att kombinera åtkomstkontroll, principer för pull requests och statuskontroller för dina viktigaste grenar. Den här artikeln visar hur du begränsar direkta ändringar, kräver rätt granskare, framtvingar arbetsobjekt och byggkrav och lägger till GitHub Advanced Security-kontroller innan pull-begäranden slås samman.

Hot och kontroller

Använd följande kontroller tillsammans för att minska de vanligaste riskerna med pull-begäranden.

Prerequisites

Innan du konfigurerar någon grenprincip:

• Kontrollera att mållagringsplatsen och -grenen redan finns.
• Bestäm vilka grupper som kan hantera behörigheter, kringgå principer och godkänna pull-begäranden.
• Om du planerar att kräva buildvalidering eller statuskontroller för GitHub Advanced Security ska du först skapa byggpipelinen.

Säkerhetsbaslinje för de flesta team

För en typisk produktionsgren, till exempel main, börjar du med den här baslinjen:

Steg 1: Begränsa lagringsplats och grenåtkomst

Börja med behörigheter. Policyer är mest effektiva när endast ett mindre antal användare kan kringgå dem.

Granska lagringsplatsens behörigheter

Använd lagringsplatsens behörigheter för att styra vem som kan läsa, bidra, administrera inställningar eller bidra till pull-begäranden. Detaljerad behörighetsreferens finns i Ange Behörigheter för Git-lagringsplats.

Använd följande mönster:

• Ge deltagare de behörigheter de behöver för att arbeta i funktionsgrenar.
• Reservera lagringsplatsadministration för en liten administratörsgrupp.
• Undvik breda beviljanden av behörigheter som kringgås av principer.

Begränsa grenbehörigheter

Granska och begränsa dessa behörigheter noggrant för skyddade grenar:

• Kringgå principer när du slutför pull-begäranden
• Kringgå principer vid push-överföring
• Framtvinga push-överföring (skriva om historik, ta bort grenar och taggar)
• Redigera principer
• Hantera behörigheter

Använd Ange grenbehörigheter för att konfigurera de här inställningarna.

Rekommenderat mönster för main:

Steg 2: Kräv strikt granskning av pull requests

Kräv ett minsta antal granskare

Använd Kräv ett minsta antal granskare för viktiga grenar som main och versionsgrenar.

Rekommenderade inställningar:

• Minsta antal granskare: 2 för delade grenar av högt värde
• Kräv minst ett godkännande för den senaste iterationen
• Tillåt att de som begär godkänner sina egna ändringar: Off
• Förhindra att den som senast pushade godkänner sina egna ändringar: On när du vill ha en tydligare åtskillnad av ansvar

Konfigurera principen för minsta antal granskare

az repos policy approver-count create \
  --blocking true \
  --branch main \
  --enabled true \
  --minimum-approver-count 2 \
  --creator-vote-counts false \
  --reset-on-source-push true \
  --repository-id <repository-id>

Kontrollera resultatet:

• Listan över grenpolicyer visar att principen för granskare är aktiverad.
• Pull-begäranden till grenen kan inte slutföras förrän det nödvändiga antalet godkännanden finns.

Information om principer finns i Avdelningsprinciper och inställningar.

Inkludera automatiskt granskare för känsliga filer

Använd Automatiskt inkluderade granskare när vissa filer eller mappar kräver godkännande från en viss person eller ett visst team.

Exempel på bra kandidater är:

• distributions- och infrastrukturkod
• autentiserings- och auktoriseringskod
• efterlevnadskänsliga mappar
• mallar för delade pipelines

Konfigurera principen för automatiskt inkluderade granskare

az repos policy required-reviewer create \
  --blocking true \
  --branch main \
  --enabled true \
  --message "Security review required for protected paths." \
  --path-filter "/.azure/*;/infra/*;/pipelines/*" \
  --repository-id <repository-id> \
  --required-reviewer-ids <reviewer-email-or-emails>

Kontrollera resultatet:

• En pull-begäran som ändrar matchande filer lägger automatiskt till de konfigurerade granskarna.
• Pull requesten kan inte slutföras förrän principen om obligatorisk granskare är uppfylld.

Mer information finns i Inkludera kodgranskare automatiskt.

Steg 3: Framtvinga spårning och validering

Sök efter länkade arbetsobjekt

Aktivera Sök efter länkade arbetsobjekt när ditt team behöver ändra spårningsbarheten mellan pull-begäranden och arbetsspårning.

Konfigurera principen för länkade arbetsobjekt

az repos policy work-item-linking create \
  --blocking true \
  --branch main \
  --enabled true \
  --repository-id <repository-id>

Kontrollera resultatet: Pullbegäranden utan länkade arbetsobjekt visar att policyn inte är uppfylld.

Mer information finns i Söka efter länkade arbetsobjekt.

Byggverifiering

Använd Build-validering för att kräva en lyckad pipelinekörning för pull-begäranden före sammanslagning.

Rekommenderade inställningar för skyddade grenar:

• Utlösare: Automatisk
• Principkrav: Required
• Versionsförfallodatum: Välj ett värde som matchar hur ofta den skyddade grenen ändras

Konfigurera principen för byggverifiering

az repos policy build create \
  --blocking true \
  --branch main \
  --build-definition-id <pipeline-id> \
  --display-name "PR validation" \
  --enabled true \
  --manual-queue-only false \
  --queue-on-source-update-only true \
  --repository-id <repository-id> \
  --valid-duration 0

Kontrollera resultatet:

• När du öppnar eller uppdaterar en pullbegäran placeras det konfigurerade valideringsbygget i kö.
• Pull-begäran kan inte slutföras förrän den nödvändiga versionen har slutförts.

Mer information finns i Skapa validering.

Kontrollera kommentarers lösning

Använd Kontrollera kommentarers lösningsstatus för att säkerställa att granskningstrådar är lösta innan pull requesten slutförs.

Konfigurera policyn för att lösa kommentarer

az repos policy comment-required create \
  --blocking true \
  --branch main \
  --enabled true \
  --repository-id <repository-id>

Kontrollera resultatet: Pull-begäranden med olösta kommentarer förblir blockerade tills granskare eller författare löser trådarna.

Mer information finns i Kontrollera om kommentarer är lösta.

Begränsa sammanslagningstyper

Använd Begränsa sammanslagningstyper som en inställning för lagringsplatshistorikstyrning. Den här policyn hjälper till att standardisera hur commitar i pull requests ser ut efter sammanslagning, men den är inte en direkt säkerhetskontroll.

Välj en sammanslagningsstrategi utifrån hur ditt team granskar, spårar och reviderar historiken.

Exempel på användning:

• Kräv squash-mergningar för kortvarig funktionsutveckling.
• Tillåt inte ombasering eller squash på grenar där granskningsprocessen förväntar sig sammanslagningar.

Gransknings- och spårningsöverväganden:

• Squash skapar en renare historik för målgrenen, men slår ihop flera källcommitar till en enda commit när grenarna slås samman.
• Om granskningsmodellen är beroende av att bevara den exakta incheckningssekvensen från en funktionsgren föredrar du strategier för sammanslagning framför squash.
• Se till att policyn är konsekvent med hur utvecklare granskar och felsöker historik i pull requests och i målgrenen.

Azure DevOps CLI-exempel:

az repos policy merge-strategy create \
  --blocking true \
  --branch main \
  --enabled true \
  --repository-id <repository-id> \
  --allow-no-fast-forward true \
  --allow-rebase false \
  --allow-rebase-merge false \
  --allow-squash false

Mer information finns i Begränsa sammanslagningstyper.

Steg 4: Lägg till GitHub statuskontroller för avancerad säkerhet

GitHub Statuskontroller för avancerad säkerhet hjälper till att förhindra att pull-begäranden slås samman när nya kritiska eller allvarliga säkerhetsrisker introduceras.

Innan du lägger till statuskontrollprincipen:

1. Aktivera GitHub Avancerad säkerhet på lagringsplatsen.
2. Konfigurera de obligatoriska pipeline-aktiviteterna för funktionen Avancerad säkerhet.
3. Lägg till en build-valideringsprincip för pull-begärandegrenen.
4. Aktivera Wait for Processing: true för de dokumenterade uppgifterna i Advanced Security.
5. Kör pipelinen minst en gång så att statuskontrollen visas i listan Status att kontrollera .

Börja med AdvancedSecurity/NewHighAndCritical om lagringsplatsen redan har olösta aviseringar. När du har minskat backloggen, överväg att gå över till AdvancedSecurity/AllHighAndCritical.

Webbläsarsökväg:

1. Öppna målgrenen under Grenprinciper.
2. Under Statuskontroller väljer du +.
3. Ange Status för att kontrollera till AdvancedSecurity/NewHighAndCritical.
4. Låt Avancerade alternativ ha standardvärdena.
5. Spara principen.

Statuskontroller för avancerad säkerhet konfigureras från Statuskontroller i webbläsaren när du har aktiverat avancerad säkerhetsgenomsökning och byggvalidering för lagringsplatsen. Den nödvändiga konfigurationen finns i Konfigurera statuskontroller för pull-begäranden.

Kontrollera resultatet:

• Pull-begäranden med nya höga eller kritiska resultat visar statuskontrollen som misslyckad.
• Grenprincipen blockerar slutförandet tills resultaten har lösts eller principen har gjorts valfri.

Information om konfiguration finns i:

• Konfigurera statuskontroller för pull-begäranden
• Tillgängliga statuskontroller för pull-begäranden

Exempel på distributionsplaner

Baslinje för lagringsplats med lägre känslighet

Om lagringsplatsen har lägre känslighet och du vill ha en hanterbar startpunkt:

1. Begränsa behörigheter för förbikoppling av gren på main.
2. Kräv minst en eller två granskare.
3. Aktivera länkade arbetsobjekt.
4. Lägg till byggverifiering.
5. Aktivera lösning av kommentarer.

Lagringsplats med hög känslighet

Om lagringsplatsen innehåller distributions-, identitets- eller efterlevnadskritiska tillgångar:

1. Begränsa behörigheter att kringgå policyer till administratörer.
2. Kräv två granskare på main.
3. Lägg till automatiskt inkluderade granskare för skyddade sökvägar.
4. Kräv länkade arbetsobjekt.
5. Lägg till byggverifiering.
6. Lägg till GitHub statuskontroller för avancerad säkerhet om du använder Azure DevOps Services.

Valfritt: Använd AI-assistans för att granska konfigurationen av grenprinciper

AI-hjälp är valfritt. Dina grenbehörigheter, principer och statuskontroller tillämpar lagringsplatsskydd oavsett om du använder AI eller inte.

Du kan använda dessa uppmaningar för att granska principkonfigurationen, identifiera luckor och få baslinjerekommendationer snabbare. Om du konfigurerar Azure DevOps MCP Server kan assistenten använda din Azure DevOps kontext för att förbättra svaren. Information om hur du konfigurerar finns i Aktivera AI-hjälp med Azure DevOps MCP Server.

Använd frågor som följande för att komma igång:

Verifiera alltid genererade kommandon och rekommendationer mot lagringsplatsens behörigheter, greninställningar och den aktuella Azure DevOps dokumentationen innan du tillämpar dem.

Felsökningstips

Relaterat innehåll

• Ange Git-lagringsplatsbehörigheter
• Konfigurera grenbehörigheter
• Principer och inställningar för grenar
• Tillgängliga statuskontroller för pull-begäranden
• Konfigurera GitHub Avancerad säkerhet
• Om pull-begäranden