Verwalten von Berechtigungen mit einem Befehlszeilentool - Azure DevOps (2024)

Azure DevOps Services

Berechtigungen gewähren Zugriff, um eine bestimmte Aktion für eine bestimmte Ressource auszuführen, wie unter " Erste Schritte" mit Berechtigungen, Zugriff und Sicherheitsgruppen beschrieben. Sie verwalten die meisten Berechtigungen über das Webportal. Sie können jedoch Berechtigungen mithilfe von Befehlszeilentools oder der REST-API verwalten.

Azure DevOps gewährt standardmäßig Mitgliedern von Standardsicherheitsgruppen eine Reihe von Berechtigungen. Sie können Berechtigungen auf einer präziseren Ebene mit den az devops security permission Befehlen hinzufügen und verwalten. Verwenden Sie die folgenden Befehle, um:

• Anzeigen der Berechtigungen im Zusammenhang mit Sicherheitsnamespaces
• Details zu diesen Berechtigungen anzeigen
• Aktualisieren oder Zurücksetzen von Berechtigungen

Voraussetzungen

• Um Token und Namespaces zu verwalten, müssen Sie Mitglied der Sicherheitsgruppe "Project Collection Administrators" sein. Weitere Informationen zu Token finden Sie unter Sicherheitsnamespace und Berechtigungsreferenz.
• Die Azure DevOps CLI-Erweiterung muss installiert sein, wie unter Erste Schritte mit Azure DevOps CLI beschrieben.
• Melden Sie sich mithilfe von az login bei Azure DevOps an.
• Legen Sie für die Beispiele in diesem Artikel die Standardorganisation wie folgt fest:
  • Für Azure DevOps Services: az devops configure --defaults organization=YourOrganizationURL.
  • Für Azure DevOps Server: az devops configure --defaults organization=https://ServerName/CollectionName

Sicherheitsberechtigungsbefehle

Geben Sie den folgenden Befehl ein, um alle verfügbaren Befehle auflisten zu können.

az devops security permission -h

Weitere Informationen zu Konzepten im Zusammenhang mit Sicherheitsberechtigungen finden Sie in der Dokumentation zur Sicherheits-REST-API

Die folgenden Parameter sind für alle Befehle optional und nicht in den beispielen in diesem Artikel aufgeführt.

• detect: Automatische Erkennung der Organisation. Akzeptierte Werte: false, true. Der Standardwert ist korrekt.
• org: Azure DevOps-Organisations-URL. Sie können die Standardorganisation mithilfe von „az devops configure -d organization=ORG_URL“ konfigurieren. Erforderlich, wenn nicht als „Standard“ konfiguriert oder über „git config“ übernommen. Beispiel: --org https://dev.azure.com/MyOrganizationName/

Auflisten von Sicherheitsnamespaces

Sie können alle verfügbaren Namespaces für eine Organisation mit dem Befehl "az devops security permission namespace list" auflisten. Eine Beschreibung aller Sicherheitsnamespaces und zugehörigen Token finden Sie unter Sicherheitsnamespace und Berechtigungsreferenz.

az devops security permission namespace list [--local-only]

Parameter

• nur lokal: Optional. Wenn "true", rufen Sie nur lokale Sicherheitsnamespaces ab.

  Sicherheitsnamespaces haben möglicherweise ihren Datenmaster in einem Microservice, sind aber weiterhin in anderen Microservices sichtbar. Wenn die Daten eines Sicherheitsnamespaces in Microservice X gemastert werden, wird es als lokal für diesen Microservice angegeben. Andernfalls wird gesagt, dass sie entfernt ist.

Geben Sie az devops security permission namespace list die Namespaces ein, die für Ihre Organisation oder den lokalen Server definiert sind.

az devops security permission namespace list --org https://dev.azure.com/OrganizationName --output table Id Name------------------------------------ ------------------------------c788c23e-1b46-4162-8f5e-d7585343b5de ReleaseManagement58450c49-b02d-465a-ab12-59ae512d6531 Analyticsd34d3680-dfe5-4cc6-a949-7d9c68f73cba AnalyticsViews62a7ad6b-8b8d-426b-ba10-76a7090e94d5 PipelineCachePrivileges7c7d32f7-0e86-4cd6-892e-b35dbba870bd ReleaseManagementa6cc6381-a1ca-4b36-b3c1-4e65211e82b6 AuditLog5a27515b-ccd7-42c9-84f1-54c998f03866 Identity445d2788-c5fb-4132-bbef-09c4045ad93f WorkItemTrackingAdministration101eae8c-1709-47f9-b228-0e476c35b3ba DistributedTask71356614-aad7-4757-8f2c-0fb3bff6f680 WorkItemQueryFolders2e9eb7ed-3c0a-47d4-87c1-0ffdd275fd87 Git Repositories3c15a8b7-af1a-45c2-aa97-2cb97078332e VersionControlItems22bf24a2b-70ba-43d3-ad97-3d9e1f75622f EventSubscriber5a6cd233-6615-414d-9393-48dbb252bd23 WorkItemTrackingProvision49b48001-ca20-4adc-8111-5b60c903a50c ServiceEndpointscb594ebe-87dd-4fc9-ac2c-6a10a4c92046 ServiceHooksbc295513-b1a2-4663-8d1a-7017fd760d18 Chat3e65f728-f8bc-4ecd-8764-7e378b19bfa7 Collectioncb4d56d2-e84b-457e-8845-81320a133fbb Proxybed337f8-e5f3-4fb9-80da-81e17d06e7a8 Plan2dab47f9-bd70-49ed-9bd5-8eb051e59c02 Process11238e09-49f2-40c7-94d0-8f0307204ce4 AccountAdminSecurityb7e84409-6553-448a-bbb2-af228e07cbeb Library83d4c2e6-e57d-4d6e-892b-b87222b7ad20 Environment52d39943-cb85-4d7f-8fa8-c6baac873819 Project58b176e7-3411-457a-89d0-c6d0ccb3c52b EventSubscription83e28ad4-2d72-4ceb-97b0-c7726d5502c3 CSS9e4894c3-ff9a-4eac-8a85-ce11cafdc6f1 TeamLabSecurityfc5b7b85-5d6b-41eb-8534-e128cb10eb67 ProjectAnalysisLanguageMetricsbb50f182-8e5e-40b8-bc21-e8752a1e7ae2 Taggingf6a4de49-dbe2-4704-86dc-f8ec1a294436 MetaTaskbf7bfa03-b2b7-47db-8113-fa2e002cc5b1 Iterationfa557b48-b5bf-458a-bb2b-1b680426fe8b Favorites4ae0db5d-8437-4ee8-a18b-1f6fb38bd34c Registryc2ee56c9-e8fa-4cdd-9d48-2c44f697a58e Graphdc02bf3d-cd48-46c3-8a41-345094ecc94b ViewActivityPaneSecurity2a887f97-db68-4b7c-9ae3-5cebd7add999 Job73e71c45-d483-40d5-bdba-62fd076f7f87 WorkItemTracking4a9e8381-289a-4dfd-8460-69028eaa93b3 StrongBox1f4179b3-6bac-4d01-b421-71ea09171400 Servere06e1c24-e93d-4e4a-908a-7d951187b483 TestManagement6ec4592e-048c-434e-8e6c-8671753a8418 SettingEntries302acaca-b667-436d-a946-87133492041c BuildAdministration2725d2bc-7520-4af4-b0e3-8d876494731f Location83abde3a-4593-424e-b45f-9898af99034d UtilizationPermissionsc0e7a722-1cad-4ae6-b340-a8467501e7ce WorkItemsHub0582eb05-c896-449a-b933-aa3d99e121d6 WebPlatform66312704-deb5-43f9-b51c-ab4ff5e351c3 VersionControlPrivileges93bafc04-9075-403a-9367-b7164eac6b5c Workspaces093cbb02-722b-4ad6-9f88-bc452043fa63 CrossProjectWidgetView35e35e8e-686d-4b01-aff6-c369d6e36ce0 WorkItemTrackingConfiguration0d140cae-8ac1-4f48-b6d1-c93ce0301a12 Discussion Threads5ab15bc8-4ea1-d0f3-8344-cab8fe976877 BoardsExternalIntegration7ffa7cf4-317c-4fea-8f1d-cfda50cfa956 DataProvider81c27cc8-7a9f-48ee-b63f-df1e1d0412dd Social9a82c708-bfbe-4f31-984c-e860c2196781 Securitya60e0d84-c2f8-48e4-9c0c-f32da48d5fd1 IdentityPicker84cc1aa4-15bc-423d-90d9-f97c450fc729 ServicingOrchestration33344d9c-fc72-4d6f-aba5-fa317101a7e9 Build8adf73b7-389a-4276-b638-fe1653f7efc7 DashboardsPrivilegesa39371cf-0841-4c16-bbd3-276e341bc052 VersionControlItems

Beispiel: Auflisten lokaler Sicherheitsnamespaces

Der folgende Befehl listet nur die lokalen Sicherheitsnamespaces für Ihre Organisation auf und zeigt die Ergebnisse im Tabellenformat an.

az devops security permission namespace list --local-only --output tableId Name------------------------------------ ------------------------------71356614-aad7-4757-8f2c-0fb3bff6f680 WorkItemQueryFoldersfa557b48-b5bf-458a-bb2b-1b680426fe8b Favorites4ae0db5d-8437-4ee8-a18b-1f6fb38bd34c Registryc2ee56c9-e8fa-4cdd-9d48-2c44f697a58e Graphdc02bf3d-cd48-46c3-8a41-345094ecc94b ViewActivityPaneSecurity2a887f97-db68-4b7c-9ae3-5cebd7add999 Job73e71c45-d483-40d5-bdba-62fd076f7f87 WorkItemTracking4a9e8381-289a-4dfd-8460-69028eaa93b3 StrongBox1f4179b3-6bac-4d01-b421-71ea09171400 Servere06e1c24-e93d-4e4a-908a-7d951187b483 TestManagement6ec4592e-048c-434e-8e6c-8671753a8418 SettingEntries302acaca-b667-436d-a946-87133492041c BuildAdministration2725d2bc-7520-4af4-b0e3-8d876494731f Location83abde3a-4593-424e-b45f-9898af99034d UtilizationPermissionsc0e7a722-1cad-4ae6-b340-a8467501e7ce WorkItemsHub0582eb05-c896-449a-b933-aa3d99e121d6 WebPlatform66312704-deb5-43f9-b51c-ab4ff5e351c3 VersionControlPrivileges93bafc04-9075-403a-9367-b7164eac6b5c Workspaces093cbb02-722b-4ad6-9f88-bc452043fa63 CrossProjectWidgetView35e35e8e-686d-4b01-aff6-c369d6e36ce0 WorkItemTrackingConfiguration0d140cae-8ac1-4f48-b6d1-c93ce0301a12 Discussion Threads5ab15bc8-4ea1-d0f3-8344-cab8fe976877 BoardsExternalIntegration7ffa7cf4-317c-4fea-8f1d-cfda50cfa956 DataProvider81c27cc8-7a9f-48ee-b63f-df1e1d0412dd Social9a82c708-bfbe-4f31-984c-e860c2196781 Securitya60e0d84-c2f8-48e4-9c0c-f32da48d5fd1 IdentityPicker84cc1aa4-15bc-423d-90d9-f97c450fc729 ServicingOrchestration33344d9c-fc72-4d6f-aba5-fa317101a7e9 Build8adf73b7-389a-4276-b638-fe1653f7efc7 DashboardsPrivileges445d2788-c5fb-4132-bbef-09c4045ad93f WorkItemTrackingAdministration101eae8c-1709-47f9-b228-0e476c35b3ba DistributedTask2e9eb7ed-3c0a-47d4-87c1-0ffdd275fd87 Git Repositoriesa39371cf-0841-4c16-bbd3-276e341bc052 VersionControlItems3c15a8b7-af1a-45c2-aa97-2cb97078332e VersionControlItems22bf24a2b-70ba-43d3-ad97-3d9e1f75622f EventSubscriber5a6cd233-6615-414d-9393-48dbb252bd23 WorkItemTrackingProvision49b48001-ca20-4adc-8111-5b60c903a50c ServiceEndpointscb594ebe-87dd-4fc9-ac2c-6a10a4c92046 ServiceHooksbc295513-b1a2-4663-8d1a-7017fd760d18 Chat3e65f728-f8bc-4ecd-8764-7e378b19bfa7 Collectioncb4d56d2-e84b-457e-8845-81320a133fbb Proxybed337f8-e5f3-4fb9-80da-81e17d06e7a8 Plan2dab47f9-bd70-49ed-9bd5-8eb051e59c02 Process11238e09-49f2-40c7-94d0-8f0307204ce4 AccountAdminSecurityb7e84409-6553-448a-bbb2-af228e07cbeb Library83d4c2e6-e57d-4d6e-892b-b87222b7ad20 Environment52d39943-cb85-4d7f-8fa8-c6baac873819 Project58b176e7-3411-457a-89d0-c6d0ccb3c52b EventSubscription83e28ad4-2d72-4ceb-97b0-c7726d5502c3 CSS9e4894c3-ff9a-4eac-8a85-ce11cafdc6f1 TeamLabSecurityfc5b7b85-5d6b-41eb-8534-e128cb10eb67 ProjectAnalysisLanguageMetricsbb50f182-8e5e-40b8-bc21-e8752a1e7ae2 Taggingf6a4de49-dbe2-4704-86dc-f8ec1a294436 MetaTaskbf7bfa03-b2b7-47db-8113-fa2e002cc5b1 Iteration

Auflisten von Token für einen Sicherheitsnamespace

Sie können die Token für einen angegebenen Namespace und einen bestimmten Benutzer oder eine Gruppe mit dem Befehl "az devops-Sicherheitsberechtigungsliste " auflisten.

az devops security permission list --id --subject [--recurse] [--token]

Parameter

• • ID oder Namespace-ID: Erforderlich. ID des Sicherheitsnamespaces. Verwenden Sie zum Abrufen der ID den Befehl "az devops security permission namespace list" .
• subject: Required. Die E-Mail-Adresse oder Gruppenbeschreibung des Benutzers.
• rekurse: Optional. Wenn "true" und der Namespace hierarchisch ist, gibt dieser Parameter die untergeordneten ACLs der Token zurück.
• token: Optional. Geben Sie ein einzelnes Sicherheitstoken an.

Beispiel

Der folgende Befehl listet die Token im Tabellenformat für den angegebenen Namespace auf, der Analytics entspricht und dem Benutzer contoso@contoso.comzugeordnet ist.

az devops security permission list --id 58450c49-b02d-465a-ab12-59ae512d6531 --subject contoso@contoso.com --output tableToken Effective Allow Effective Deny-------------------------------------- ----------------- ----------------$/0611925a-b287-4b0b-90a1-90f1a96e9f1f 0 0$/087572e2-5569-49ec-af80-d3caf22b446c 0 0$/131271e0-a6ad-49ba-837e-2d475ab2b169 0 0$/14c92f9d-9fff-48ec-8171-9d1106056ab3 0 0$/1965830d-5fc4-4412-8c71-a1c39c939a42 0 0$/4b80d122-a5ca-46ec-ba28-e03d37e53404 0 0$/4fa8e9de-e86b-4986-ac75-f421881a7664 0 0$/5417a1c3-4b04-44d1-aead-50774b9dbf5f 0 0$/56af920d-393b-4236-9a07-24439ccaa85c 0 0$/69265579-a1e0-4a30-a141-ac9e3bb82572 0 0

Namespacedetails anzeigen

Sie können Details der berechtigungen anzeigen, die in jedem Namespace verfügbar sind, mit dem Befehl "az devops security permission namespace show ".

az devops security permission namespace show --namespace-id <NAMESPACE_ID>

Parameter

• ID oder Namespace-ID: Erforderlich. ID des Sicherheitsnamespaces.

Beispiel

Der folgende Befehl zeigt Details der verfügbaren Berechtigungen für die angegebene Namespace-ID und gibt die Ergebnisse im Tabellenformat zurück.

az devops security permission namespace show --namespace-id 58450c49-b02d-465a-ab12-59ae512d6531 --output tableName Permission Description Permission Bit------------------------ -------------------------------------------------------- ----------------Read View analytics 1Administer Manage analytics permissions 2Stage Push the data to staging area 4ExecuteUnrestrictedQuery Execute query without any restrictions on the query form 8ReadEuii Read EUII data 16

Berechtigungen zurücksetzen

Sie können die Berechtigungsbits für einen bestimmten Benutzer oder eine bestimmte Gruppe mit dem Befehl "az devops security permission reset" zurücksetzen .

az devops security permission reset --id --permission-bit --subject --token

Parameter

• ID oder Namespace-ID: Erforderlich. ID des Sicherheitsnamespaces.
• permission-bit: Erforderlich. Berechtigungsbit oder Hinzufügen von Berechtigungsbits, die für bestimmte Benutzer oder Gruppen und Token zurückgesetzt werden müssen.
• subject: Required. Die E-Mail-Adresse oder Gruppenbeschreibung des Benutzers.
• token: Erforderlich. Einzelnes Sicherheitstoken.

Beispiel

Mit dem folgenden Befehl wird die Berechtigung bit 8 eines Tokens für den Benutzer contoso@contoso.com im angegebenen Namespace zurückgesetzt und die Ergebnisse im Tabellenformat zurückgegeben.

az devops security permission reset --id 58450c49-b02d-465a-ab12-59ae512d6531 --permission-bit 8 --subject contoso@contoso.com --token 0611925a-b287-4b0b-90a1-90f1a96e9f1f --output tableName Bit Permission Description Permission Value------------------------ ----- -------------------------------------------------------- ------------------ExecuteUnrestrictedQuery 8 Execute query without any restrictions on the query form Not set

Alle Berechtigungen zurücksetzen

Sie können alle Berechtigungen eines Tokens für einen Benutzer oder eine Gruppe mit dem Befehl "az devops security permission reset-all " löschen.

az devops security permission reset-all --id --subject --token [--yes]

Parameter

• ID oder Namespace-ID: Erforderlich. ID des Sicherheitsnamespaces.
• subject: Required. Die E-Mail-Adresse oder Gruppenbeschreibung des Benutzers.
• token: Erforderlich. Einzelnes Sicherheitstoken.
• yes: Optional. Nicht zur Bestätigung auffordern.

Beispiel

Mit dem folgenden Befehl werden alle Berechtigungen für den Benutzer contoso@contoso.com im angegebenen Namespace gelöscht, ohne dass eine Bestätigung erforderlich ist. Das Ergebnis wird in der CLI angezeigt.

az devops security permission reset-all --id 58450c49-b02d-465a-ab12-59ae512d6531 --subject contoso@contoso.com --token 0611925a-b287-4b0b-90a1-90f1a96e9f1f --yes --output tableResult--------True

Anzeigen von Berechtigungen

Sie können die Berechtigungen für ein angegebenes Token, einen Namespace und einen Benutzer oder eine Gruppe mit dem Befehl "az devops security permission show" anzeigen.

az devops security permission show --id --subject --token

Parameter

• ID oder Namespace-ID: Erforderlich. ID des Sicherheitsnamespaces.
• subject: Required. Die E-Mail-Adresse oder Gruppenbeschreibung des Benutzers.
• token: Erforderlich. Einzelnes Sicherheitstoken.

Beispiel

Der folgende Befehl zeigt die Berechtigungsdetails eines Tokens für den Benutzer contoso@contoso.com im angegebenen Namespace und gibt die Ergebnisse im Tabellenformat zurück.

az devops security permission show --id 58450c49-b02d-465a-ab12-59ae512d6531 --subject contoso@contoso.com --token 0611925a-b287-4b0b-90a1-90f1a96e9f1f --output tableName Bit Permission Description Permission Value------------------------ ----- -------------------------------------------------------- ------------------Read 1 View analytics Not setAdminister 2 Manage analytics permissions AllowStage 4 Push the data to staging area Not setExecuteUnrestrictedQuery 8 Execute query without any restrictions on the query form Not setReadEuii 16 Read EUII data Deny

Berechtigungen aktualisieren

Sie können einem bestimmten Benutzer oder einer bestimmten Gruppe berechtigungen mit dem Befehl "Az devops security permission update" zuweisen oder diese verweigern.

az devops security permission update --id --subject --token [--allow-bit] [--deny-bit] [--merge {false, true}]

Parameter

• ID oder Namespace-ID: Erforderlich. ID des Sicherheitsnamespaces.
• subject: Required. Die E-Mail-Adresse oder Gruppenbeschreibung des Benutzers.
• token: Erforderlich. Einzelnes Sicherheitstoken.
• allow-bit: Optional. Bit oder Hinzufügen von Bits zulassen. Erforderlich, wenn --deny-bit fehlt.
• Verweigerungsbit: Optional. Bit oder Hinzufügen von Bits verweigern. Erforderlich, wenn --allow-bit fehlt.
• zusammenführen: Optional. Wenn festgelegt, hat der vorhandene Zugriffssteuerungseintrag (Access Control Entry, ACE) seine Zulassung und Ablehnung, die mit der Zulassung und Ablehnung des eingehenden ACE zusammengeführt wurde. Wenn dies nicht festgelegt ist, wird die vorhandene ACE verschoben. Die akzeptierten Werte sind "false " oder "true".

Beispiel

Der folgende Befehl aktualisiert die Berechtigungen für ExecuteUnrestrictedQuery (Bit 8) für den Benutzer contoso@contoso.com im angegebenen Namespace und zeigt die Ergebnisse im Tabellenformat an.

az devops security permission update --allow-bit 8 --id 58450c49-b02d-465a-ab12-59ae512d6531 --subject contoso@contoso.com --token 56af920d-393b-4236-9a07-24439ccaa85c --output tableName Bit Permission Description Permission Value------------------------ ----- -------------------------------------------------------- ------------------ExecuteUnrestrictedQuery 8 Execute query without any restrictions on the query form Allow

Sicherheitsnamespaces und deren IDs

Siehe Sicherheitsnamespace und Berechtigungsreferenz für Azure DevOps.

Verwandte Artikel

• Sicherheitsnamespace und Berechtigungsreferenz
• REST-API für Sicherheitsnamespaces
• Verwenden des Befehlszeilentools TFSSecurity