如何限制Azure DevOps中的Pipeline访问权限

Question

我需要限制访问，以便用户无法：

1. 查看或访问Pipelines或其任何子功能，包括构建、发布、库、任务组和部署组
2. 创建或编辑构建管道

我按照以下步骤操作：
https://learn.microsoft.com/en-us/azure/devops/pipelines/policies/set-permissions?view=vsts
我将所有权限设置为拒绝。然而，用户仍然可以执行上述(1)和(2)。

问题：我是否可以执行(1)或(2)中的任意一个？

- Ash

---

我不知道这些是否是可加的，但你需要确保用户不属于某个安全组，该组给予他访问你试图防止他执行的任何操作的权限。 - 4c74356b41

@4c74356b41 我需要设置哪些确切的安全设置来限制访问？我根据链接文章设置的安全设置似乎只适用于构建。发布等可能有自己的安全设置。我希望所有管道功能都被禁用/无法访问。 - Ash

用户是有效用户/贡献者的一部分。我在此下创建了一个名为开发人员的组，如果有什么问题，我已经在这些组中拒绝了几个权限。我没有明确设置任何内容为“允许”。 - Ash

Answer 1

在安全性下的组织设置中，您可以设置以下内容：

• 管理构建资源
• 使用构建资源
• 查看构建资源

我认为这些应该是拒绝。

我个人在测试这些内容时遇到了一些权限缓存问题。 退出并重新登录通常不会立即更改权限。 更新： 在管道->发布下，您可以单击3个点，然后有一个安全子站点包含这些内容： 将用户或组添加并在这些设置上设置拒绝对我很有用。 不幸的是，这似乎是基于发布管道的。 更新2： 在查看版本时，您可以进入文件夹视图，然后创建一个文件夹以放置所有的发布管道，然后在文件夹基础上，您可以将安全设置设置为拒绝您的用户或组，这样它将被继承到每个文件夹中。

开发人员需要记住在该文件夹中创建发布管道。 您需要在根目录中拥有管道，否则您将无法看到安全按钮。（在新旧导航设计中进行测试）

- Jim Wolff

---

在我們的系統上進行了快速測試後，我的測試用戶仍然可以看到“Releases”和“Deployment groups”，但沒有任何與構建相關的內容。稍後我會再查看一下，看看在可能的緩存清除後情況是否仍然如此。 - Jim Wolff

@Ash 我注意到我可以通过在部署组本身下点击安全性并删除贡献者（其中我有我的测试用户）来删除部署组的内容。我找不到任何其他拒绝权限，而且您仍然可以看到菜单但无法查看内容。 - Jim Wolff

@Ash 看看我的更新答案，它限制了访问和查看，但你仍然可以看到菜单项，这意味着你可以创建发布管道和部署组，但它们没有创建按钮，所以实际上是不可能的。 - Jim Wolff

谢谢Jim。Update2对我有用。我已经尝试了构建和我的测试用户确实无法查看或创建任何流水线。我将测试发布、部署组等，并让您知道是否相同的技术也适用于这些方面。另外，你知道是否有一种方法可以将这些设置“导入”到所有项目中吗？因为这些特定的安全设置是针对每个项目的，而我需要这些设置在整个组织范围内生效。 - Ash

@ash，我们有一个类似的愿望，希望限制标准ADO团队成员查看发布管道的发布日志...例如，我们已经在Azure KeyVault中保护了环境变量，然后ADO在变量组中进行保护，但是任何具有编辑管道或YAML权限的人都可以将变量简单地转储到进程中的日志页面。您知道限制可以读取构建/发布日志的用户的有效方法吗？ - one.beat.consumer

@Ash，我还开了一个特定的问题：https://stackoverflow.com/questions/68716833/how-can-azure-devops-pipeline-build-and-release-logs-be-locked-down-to-a-specifi - one.beat.consumer