Azure Devpos Server 2019: как правильно управлять ролью пользователя

Я недавно установил Azure DevOps Server 2019 на локальном сервере.

Однако я так запутался: как я могу установить безопасность и разрешение пользователя на сервере, например: Запретить пользователю просматривать проект автора в той же коллекции, создать настраиваемую группу не в группах по умолчанию azure DevOps ...

Прошу идею реализовать это

Спасибо


azure-devops azure-devops-server-2019
person Quentin Merlin    schedule 29.04.2020    source источник

Ответы (1)


arrow_upward
1
arrow_downward

В соответствии с настройками разрешений Azure DevOps для большинства групп и почти всех разрешений Запретить превосходит Разрешить. Если пользователь принадлежит к двум группам, и для одной из них установлено разрешение Запретить, этот пользователь не сможет выполнять задачи, требующие этого разрешения, даже если он принадлежать к группе, для которой задано разрешение Разрешить.

Запретить пользователю просматривать авторский проект в той же коллекции.

Предположим, вы говорили о командном проекте. В вашем сценарии самый простой способ - не добавлять этого пользователя в командный проект. Люди, не имеющие прав администратора для сбора командных проектов, не смогут видеть те проекты, в которые они не добавлены.

Если вы уже добавляете пользователей в командный проект и хотите, чтобы пользователь не мог видеть некоторую информацию, такую ​​как репо / сборка / рабочие элементы в проекте.

Очевидно, вам нужно запретить этим пользователям просматривать некоторые репозитории / сборки / рабочие элементы проекта.

Что касается того, как создать группу, вы можете напрямую щелкнуть New Group в правом верхнем углу страницы в Project Settings - Permission.

введите здесь описание изображения

Для получения дополнительных сведений о том, как определяются разрешения и группы, рекомендуем ознакомиться с нашим официальным документом здесь - О разрешениях и группах

Кроме того, вы также можете управлять разрешениями пользователей с помощью командной строки. tfssecurity Инструмент командной строки позволяет нам управлять разрешениями для групп и пользователей Azure DevOps. Мы могли бы использовать его в сценарии PowerShell для предоставления доступа к уже существующим проектам.

person PatrickLu-MSFT    schedule 30.04.2020
comment
Я не понимаю ваш ответ. В качестве примера: я создаю команду, эта команда является членом группы пользователей действительного проекта, я отклоняю действие переименовать командный проект в двух группах, но член моей команды; все равно переименовать проект - person Quentin Merlin; 30.04.2020
comment
@KivenWanda Был ли этот пользователь также членом группы администраторов проекта? Если это так, это может переопределить настройку разрешения. Если нет, то после переименования вы просили его сохранить изменения. Удалось ли ему также сохранить изменения? - person PatrickLu-MSFT; 30.04.2020
comment
@KivenWanda Это зашито. Я не смог воспроизвести ваш сценарий. Единственная разница может быть: я вышел из системы и снова подписался с тестовым пользователем. Предложите вам также попросить его выйти из системы, закрыть веб-портал и снова войти. Более того, что, если вы явно откажетесь от разрешения на переименование проекта этого пользователя. Вы можете искать пользователя на странице разрешений, выберите пользователя и выполните поиск пользователя. Также попробуйте сузить круг вопросов. - person PatrickLu-MSFT; 30.04.2020
comment
Это выглядит работает, только с обычной учетной записью AD, но у меня есть проблема, администратор учетной записи AD имеет все разрешения в проекте, даже если он не добавлен ни в один проект - person Quentin Merlin; 30.04.2020
comment
Пользователи-администраторы домена могут видеть и управлять всеми проектами, даже если они не добавлены ни в один из проектов. Как я могу их остановить? - person Quentin Merlin; 30.04.2020
comment
@KivenWanda Извините за более поздний ответ во время отпуска. Domain Admin Users can see and manage to all project even though it's not added in any project Эти пользователи могут автоматически добавляться как группа администраторов сервера TFS или группа администраторов коллекции TFS. Как любой член группы, он может видеть весь проект и управлять им. Если вы не хотите, чтобы эта возможность была у какого-то пользователя. Либо переместите конкретного пользователя из группы администраторов. Или откажитесь от соответствующего разрешения для каждого проекта, которым вы не хотите, чтобы они управляли. - person PatrickLu-MSFT; 05.05.2020