Použití osobních přístupových tokenů (PAT)

Azure DevOps Services | Azure DevOps Server 2022 – Azure DevOps Server 2019

Token PAT (Personal Access Token) slouží jako alternativní heslo pro ověřování v Azure DevOps. Tento pat vás identifikuje a určuje přístupnost a rozsah přístupu. Proto s paty zachází se stejnou úrovní opatrnosti jako s hesly.

Pokud používáte nástroje Microsoftu, váš účet Microsoft (MSA) nebo Microsoft Entra ID je rozpoznaná a podporovaná metoda. Pokud používáte nástroje jiné společnosti než Microsoft, které nepodporují účty Microsoft nebo Microsoft Entra, nebo pokud preferujete sdílení primárních přihlašovacích údajů s těmito nástroji, jsou paty vhodným alternativním řešením.

Tento článek vás provede vytvářením, úpravami a odvoláváním PAT pro Azure DevOps.

Pracovní stanice s privilegovanými pracovními stanicemi můžete spravovat následujícími metodami:

• Uživatelské rozhraní (UI): Prostřednictvím uživatelských nastavení, jak je podrobně popsáno v tomto článku
• Rozhraní API pro správu životního cyklu PAT

Pokud chcete vytvořit paty pro nástroje jiné společnosti než Microsoft, můžete použít správce přihlašovacích údajů Gitu nebo je ručně vygenerovat. Doporučujeme projít si naše doprovodné materiály k ověřování a zvolit vhodný mechanismus ověřování. Pracovní stanice poskytují jednoduchou alternativu pro menší projekty, které nevyžadují rozsáhlé řešení. Bez správce přihlašovacích údajů uživatelé pokaždé zadají svoje přihlašovací údaje.

Požadavky

• Oprávnění:
  • Mít oprávnění k přístupu a úpravě uživatelských nastavení, kde se spravují paty.
    • Kontrola oprávnění: Pokud chcete zkontrolovat svá oprávnění, proveďte v Azure DevOps některý z následujících procesů:
      • Přejděte do svého profilu a vyberte Osobní přístupové tokeny uživatelských nastavení>. Pokud tady vidíte a spravujete pracovní stanice s privilegovaným přístupem, máte potřebná oprávnění.
      • Přejděte do projektu a vyberte Oprávnění nastavení>projektu. Najděte v seznamu svůj uživatelský účet a zkontrolujte oprávnění přiřazená vám. Vyhledejte oprávnění související se správou tokenů nebo uživatelských nastavení.
  • Pokud má vaše organizace zavedené zásady, správce Azure DevOps vám možná bude muset udělit konkrétní oprávnění nebo vás přidat do seznamu povolených pro vytváření a správu PAT.
  • V závislosti na úlohách, které chcete s patem provést, možná budete potřebovat další oprávnění. Příklad:
    • Sestavení: Čtení a spuštění
    • Kód: Čtení, zápis a správa
    • Prostředí: Čtení a správa
    • Projekt a tým: Čtení, zápis a správa
    • Skupiny proměnných: Čtení a vytvoření
• Úrovně přístupu: Mají alespoň základní přístup.
• Osvědčené postupy zabezpečení: Seznamte se s osvědčenými postupy zabezpečení pro správu patů, jako je jejich použití pouze v případě potřeby a pravidelné obměně.

Vytvoření pat

1. Přihlaste se ke své organizaci (https://dev.azure.com/{Your_Organization}).

2. Na domovské stránce otevřete uživatelská nastavení a vyberte Osobní přístupové tokeny.

   

3. Vyberte + Nový token.

   

4. Pojmenujte token, vyberte organizaci, ve které chcete token použít, a potom nastavte, aby platnost tokenu po nastaveném počtu dnů automaticky vypršela.

   

5. Vyberte obory tohoto tokenu, které chcete autorizovat pro vaše konkrétní úkoly.

   Pokud chcete například vytvořit token pro agenta sestavení a verze pro ověření v Azure DevOps, nastavte obor tokenu na fondy agentů (čtení a správa). Pokud chcete číst události protokolu auditu a spravovat nebo odstraňovat streamy, vyberte Protokol auditu a pak vyberte Vytvořit.

   

   Poznámka:

   Vytváření úplného rozsahu pat může být omezené. Pokud ano, váš správce Azure DevOps v Microsoft Entra ID povolil zásadu, která vás omezuje na konkrétní sadu oborů definovaných vlastními daty. Další informace najdete v tématu Správa patů pomocí zásad /Omezit vytváření plně omezených patů. U vlastního definovaného tokenu PAT není požadovaný obor pro přístup k rozhraní API vso.governancezásad správného řízení součástí v uživatelském rozhraní vybrán.

6. Až budete hotovi, zkopírujte token a uložte ho do zabezpečeného umístění. Pro vaše zabezpečení se znovu nezobrazí.

   

Pro ověřování v Azure DevOps použijte pat všude, kde jsou vyžadovány přihlašovací údaje uživatele.

Oznámení

Během životnosti pat obdrží uživatelé dvě oznámení: první v době vytvoření a druhý sedm dní před vypršením platnosti.

Po vytvoření pat obdržíte oznámení podobné následujícímu příkladu. Toto oznámení slouží jako potvrzení úspěšného přidání pat do vaší organizace.

Následující obrázek ukazuje příklad sedmidenního oznámení před vypršením platnosti pat.

Neočekávané oznámení

Pokud se zobrazí neočekávané oznámení PAT, může to znamenat, že správce nebo nástroj vytvořil pat za vás. Zde je uvedeno několik příkladů.

• Token s názvem Git: https://dev.azure.com/{Your_Organization} on YourMachine se vytvoří při připojení k úložišti Git Azure DevOps přes git.exe.
• Token s názvem "Service Hooks: : Aplikace Azure Service: : Deploy web app" se vytvoří, když vy nebo správce nastavíte nasazení webové aplikace Aplikace Azure Service.
• Token s názvem WebAppLoadTestCDIntToken se vytvoří při nastavení webového zátěžového testování jako součást kanálu vámi nebo správcem.
• Token s názvem Integrace Microsoft Teams se vytvoří při nastavení rozšíření Microsoft Teams Integration Messaging.

Použití pat

Váš pat slouží jako vaše digitální identita, podobně jako heslo.

Git

Interakce Gitu vyžadují uživatelské jméno, které může být cokoli kromě prázdného řetězce. Pokud chcete použít pat se základním ověřováním HTTP, Base64-encode jak $MyPat je znázorněno v následujícím bloku kódu.

$MyPat = 'yourPat'
$headerValue = "Authorization: Basic " + [Convert]::ToBase64String([System.Text.Encoding]::UTF8.GetBytes(":" + $MyPat))
$env:GIT_AUTH_HEADER = $headerValue

git --config-env=http.extraheader=GIT_AUTH_HEADER clone https://dev.azure.com/yourOrgName/yourProjectName/_git/yourRepoName

MY_PAT=yourPAT # replace "yourPAT" with "PatStringFromWebUI"
export HEADER_VALUE=$(echo -n "Authorization: Basic " $(printf ":%s" "$MY_PAT" | base64))

git --config-env=http.extraheader=$HEADER_VALUE clone https://dev.azure.com/yourOrgName/yourProjectName/_git/yourRepoName

Existující úložiště

• Odeberte existující zdroj: Pokud jste dříve přidali původ pomocí uživatelského jména, odeberte ho spuštěním následujícího příkazu:

  git remote remove origin

• Ověřování pomocí pat: Pokud narazíte na problémy se standardním ověřováním, spusťte následující příkaz pro ověření prostřednictvím příkazového řádku:

  git remote add origin https://dev.azure.com/<PAT>@<company_machineName>:/<project-name>/_git/<repo_name>

  git push -u origin --all

  Odkazuje path to git repo = /_git/do na strukturu cest URL použitou v Azure DevOps pro úložiště Git. Segment /_git/ označuje, že přistupujete k úložišti Git, a měli byste nahradit do skutečným názvem úložiště. Pokud je například vaše úložiště pojmenované my-repo, cesta by byla "/_git/my-repo".

• Klonování úložiště: Pokud používáte Git a potřebujete provést ověření, spusťte následující příkaz:

  git clone https://{organization}@dev.azure.com/{organization}/_git/{repository}

  Nahraďte {organization} názvem vaší organizace Azure DevOps a {repository} názvem úložiště.

Použití PAT v kódu

K ověřování požadavků rozhraní API a automatizaci pracovních postupů můžete ve svém kódu použít pat. Pokud to chcete udělat, zahrňte pat do autorizační hlavičky vašich požadavků HTTP.

Authorization: Basic BASE64_USERNAME_PAT_STRING

public static async void GetBuilds()
{
    try
    {
        var personalaccesstoken = "PATFROMWEB";

        using (HttpClient client = new HttpClient())
        {
            client.DefaultRequestHeaders.Accept.Add(
                new System.Net.Http.Headers.MediaTypeWithQualityHeaderValue("application/json"));

            client.DefaultRequestHeaders.Authorization = new AuthenticationHeaderValue("Basic",
                Convert.ToBase64String(
                    System.Text.ASCIIEncoding.ASCII.GetBytes(
                        string.Format("{0}:{1}", "", personalaccesstoken))));

            using (HttpResponseMessage response = client.GetAsync(
                        "https://dev.azure.com/{organization}/{project}/_apis/build/builds?api-version=5.0").Result)
            {
                response.EnsureSuccessStatusCode();
                string responseBody = await response.Content.ReadAsStringAsync();
                Console.WriteLine(responseBody);
            }
        }
    }
    catch (Exception ex)
    {
        Console.WriteLine(ex.ToString());
    }
}

public static async void GetBuilds()
{
   try
  {
      var personalaccesstoken = "PATFROMWEB";

      using (HttpClient client = new HttpClient())
       {
           client.DefaultRequestHeaders.Accept.Add(
              new System.Net.Http.Headers.MediaTypeWithQualityHeaderValue("application/json"));

           client.DefaultRequestHeaders.Authorization = new AuthenticationHeaderValue("Basic",
               Convert.ToBase64String(
                   System.Text.ASCIIEncoding.ASCII.GetBytes(
                       string.Format("{0}:{1}", "", personalaccesstoken))));

          using (HttpResponseMessage response = client.GetAsync(
                       $"https://dev.azure.com/{organization}/{project}/_apis/build/builds?api-version=5.0").Result)
           {
               response.EnsureSuccessStatusCode();
               string responseBody = await response.Content.ReadAsStringAsync();
               Console.WriteLine(responseBody);
           }
       }
   }
   catch (Exception ex)
   {
       Console.WriteLine(ex.ToString());
   }
}

curl -u :{PAT} https://dev.azure.com/{organization}/_apis/build-release/builds

Když váš kód funguje, je vhodné přejít ze základního ověřování na OAuth.

Další informace a příklady použití PAT najdete v následujících článcích:

• Nastavení správců přihlašovacích údajů Gitu
• Přístup k rozhraním REST API
• Použití NuGetu na Macu
• Ověřování klientů pro vytváření sestav
• Začínáme s Azure DevOps CLI

Změny formátu

Od července 2024 jsme výrazně změnili formát PAT vydaných Azure DevOps. Tyto změny poskytují další výhody zabezpečení a zlepšují nástroje pro detekci tajných kódů dostupné prostřednictvím našich partnerských nabídek, jako je GitHub Advanced Security pro Azure DevOps. Tento nový formát PAT se řídí doporučeným formátem ve všech produktech Microsoftu. Zahrnutí identifikovatelných bitů zlepšuje míru detekce falešně pozitivních výsledků těchto nástrojů pro detekci tajných kódů a umožňuje nám rychleji zmírnit zjištěné úniky.

Klíčové změny:

• Zvýšená délka tokenu: Nové tokeny teď mají délku 84 znaků, přičemž randomizovaná data jsou 52 znaků. Tato zvýšená délka zlepšuje celkovou entropii a zvyšuje odolnost tokenů vůči potenciálním útokům hrubou silou.
• Pevný podpis: Tokeny vydané naší službou obsahují pevný AZDO podpis na pozicích 76-80.

Požaduje se akce:

• Znovu vygenerovat stávající paty: Důrazně doporučujeme znovu vygenerovat všechny pracovní stanice, které se aktuálně používají, aby bylo možné využít těchto vylepšení zabezpečení.
• Podpora integrátorů: Integrátoři by měli aktualizovat své systémy tak, aby vyhovovaly novým i stávajícím délkám tokenů.

Související články

• Informace o zabezpečení, ověřování a autorizaci
• Kontrola výchozích oprávnění a přístupu pro Azure DevOps
• Odvolání patů uživatelů (pro správce)
• Správa instančních objektů a spravovaných identit v Azure DevOps