個人用アクセス トークンを使用する

Azure DevOps Services | Azure DevOps Server 2022 - Azure DevOps Server 2019

個人用アクセス トークン (PAT) は、Azure DevOps に認証するための代替パスワードとして機能します。 この PAT は、ユーザーを識別し、アクセスのアクセシビリティとスコープを決定します。 そのため、パスワードと同じレベルの注意を払って、PAT を扱います。

Microsoft ツールを使用する場合、Microsoft アカウント (MSA) または Microsoft Entra ID は、認識され、サポートされている方法です。 Microsoft または Microsoft Entra アカウントをサポートしていない Microsoft 以外のツールを使用している場合、またはこれらのツールとプライマリ資格情報を共有したくない場合は、AT が適切な代替手段です。

この記事では、Azure DevOps の AT の作成、使用、変更、取り消しについて説明します。

次の方法を使用して、PAT を管理できます。

• ユーザー インターフェイス (UI): この記事で詳しく説明するように、ユーザー設定を使用します
• PAT ライフサイクル管理 API

Microsoft 以外のツールの AT を確立するには、Git 資格情報マネージャーを使用するか、手動で生成します。 適切な認証メカニズムを 選択するには、認証ガイダンス を確認することをお勧めします。 AT は、広範なソリューションを必要としない小規模なプロジェクトに対して簡単な代替手段を提供します。 資格情報マネージャーを使用しない場合、ユーザーは毎回資格情報を入力します。

前提条件

• アクセス許可:
  • AT が管理されているユーザー設定にアクセスして変更するアクセス許可を持っている。
    • アクセス許可を確認する: アクセス許可を確認するには、Azure DevOps で次のいずれかのプロセスを実行します。
      • プロファイルに移動し、[ユーザー設定>の個人用アクセス トークン] を選択します。 ここで AT を表示および管理できる場合は、必要なアクセス許可があります。
      • プロジェクトに移動し、[プロジェクト設定>の権限] を選択します。 一覧でユーザー アカウントを見つけて、自分に割り当てられているアクセス許可を確認します。 トークンまたはユーザー設定の管理に関連するアクセス許可を探します。
  • 組織にポリシーが設定されている場合、Azure DevOps 管理者が特定のアクセス許可を付与するか、許可リストに追加して、AT を作成および管理することが必要になる場合があります。
  • PAT で実行するタスクによっては、追加のアクセス許可が必要になる場合があります。 例:
    • ビルド: 読み取りおよび実行
    • コード: 読み取り、書き込み、管理
    • 環境: 読み取りと管理
    • プロジェクトとチーム: 読み取り、書き込み、管理
    • 変数グループ: 読み取りおよび作成
• アクセス レベル: 少なくとも Basic アクセス権を持ちます。
• セキュリティのベスト プラクティス: 必要な場合にのみ使用し、定期的にローテーションするなど、AT を管理するためのセキュリティのベスト プラクティスについて理解します。

PAT の作成

1. 組織にサインインします (https://dev.azure.com/{Your_Organization})。

2. ホーム ページからユーザー設定 を開き、[個人用アクセス トークン] を選択します。

   

3. [+ New Token] を選択します。

   

4. トークンに名前を付け、トークンを使用する組織を選択し、設定した日数後にトークンの有効期限が自動的に切れるよう設定します。

   

5. このトークンのスコープを選択して、特定のタスクを承認します。

   たとえば、ビルドおよびリリース エージェントのトークンを作成して Azure DevOps に対して認証するには、トークンのスコープをエージェント プール (読み取りおよび管理) に設定します。 監査ログ イベントを読み取り、ストリームを管理または削除するには、[監査ログの読み取り] を選択し、[作成] を選択します。

   

   Note

   フル スコープの AT の作成が制限される場合があります。 その場合、Microsoft Entra ID の Azure DevOps 管理者が、特定のカスタム定義のスコープ セットに制限するポリシーを有効にしています。 詳細については、「ポリシーを使用した PAT の管理/フル スコープの PAT の作成を制限する」を参照してください。 カスタム定義 PAT の場合、コンポーネント ガバナンス API にアクセスするために必要なスコープは、 vso.governanceUI では選択できません。

6. 完了したら、トークンをコピーし、安全な場所に格納します。 セキュリティ上、再び表示されることはありません。

   

Azure DevOps での認証にユーザー資格情報が必要な任意の場所で PAT を使用します。

通知

PAT の有効期間中、ユーザーは 2 つの通知を受け取ります。最初の通知は作成時と有効期限の 7 日前です。

PAT を作成すると、次の例のような通知が表示されます。 この通知は、PAT が正常に組織に追加されたことを確認する役割を果たします。

次の図は、PAT の有効期限が切れる前の 7 日間の通知の例を示しています。

予期しない通知

予期しない PAT 通知が表示された場合は、管理者またはツールによって PAT が作成された可能性があります。 いくつか例を挙げます。

• git.exe経由で Azure DevOps Git リポジトリに接続すると、"git: https://dev.azure.com/{Your_Organization} on YourMachine" という名前のトークンが作成されます。
• "Service Hooks: : Azure アプリ Service: : Deploy Web app" という名前のトークンは、ユーザーまたは管理者が Azure アプリ Service Web アプリのデプロイを設定するときに作成されます。
• "WebAppLoadTestCDIntToken" という名前のトークンは、ユーザーまたは管理者が Web ロード テストをパイプラインの一部として設定するときに作成されます。
• Microsoft Teams Integration Messaging Extension が設定されると、"Microsoft Teams Integration" という名前のトークンが作成されます。

PAT を使用する

PAT は、パスワードと同様にデジタル ID として機能します。

Git

Git の操作にはユーザー名が必要です。これは空の文字列以外の任意のユーザー名です。 HTTP 基本認証で PAT を使用するには、 Base64-encode 次のコード ブロックに示すようにします $MyPat 。

$MyPat = 'yourPat'
$headerValue = "Authorization: Basic " + [Convert]::ToBase64String([System.Text.Encoding]::UTF8.GetBytes(":" + $MyPat))
$env:GIT_AUTH_HEADER = $headerValue

git --config-env=http.extraheader=GIT_AUTH_HEADER clone https://dev.azure.com/yourOrgName/yourProjectName/_git/yourRepoName

MY_PAT=yourPAT # replace "yourPAT" with "PatStringFromWebUI"
export HEADER_VALUE=$(echo -n "Authorization: Basic " $(printf ":%s" "$MY_PAT" | base64))

git --config-env=http.extraheader=$HEADER_VALUE clone https://dev.azure.com/yourOrgName/yourProjectName/_git/yourRepoName

既存のリポジトリ

• 既存の配信元を削除する: ユーザー名を使用して配信元を以前に追加した場合は、次のコマンドを実行して削除します。

  git remote remove origin

• PAT による認証: 標準認証で問題が発生した場合は、次のコマンドを実行してコマンド ラインを使用して認証します。

  git remote add origin https://dev.azure.com/<PAT>@<company_machineName>:/<project-name>/_git/<repo_name>

  git push -u origin --all

  これは path to git repo = /_git/do 、Git リポジトリ用の Azure DevOps で使用される URL パス構造を指します。 このセグメントは /_git/ 、Git リポジトリにアクセスしていることを示しており、リポジトリの実際の名前に置き換える do 必要があります。 たとえば、リポジトリに名前が付けられている my-repo場合、パスは '/_git/my-repo' になります。

• リポジトリの複製: Git を使用していて認証が必要な場合は、次のコマンドを実行します。

  git clone https://{organization}@dev.azure.com/{organization}/_git/{repository}

  Azure DevOps 組織名と{repository}リポジトリの名前に置き換えます{organization}。

コードで PAT を使用する

コードで PAT を使用して API 要求を認証し、ワークフローを自動化できます。 これを行うには、HTTP 要求の承認ヘッダーに PAT を含めます。

Authorization: Basic BASE64_USERNAME_PAT_STRING

public static async void GetBuilds()
{
    try
    {
        var personalaccesstoken = "PATFROMWEB";

        using (HttpClient client = new HttpClient())
        {
            client.DefaultRequestHeaders.Accept.Add(
                new System.Net.Http.Headers.MediaTypeWithQualityHeaderValue("application/json"));

            client.DefaultRequestHeaders.Authorization = new AuthenticationHeaderValue("Basic",
                Convert.ToBase64String(
                    System.Text.ASCIIEncoding.ASCII.GetBytes(
                        string.Format("{0}:{1}", "", personalaccesstoken))));

            using (HttpResponseMessage response = client.GetAsync(
                        "https://dev.azure.com/{organization}/{project}/_apis/build/builds?api-version=5.0").Result)
            {
                response.EnsureSuccessStatusCode();
                string responseBody = await response.Content.ReadAsStringAsync();
                Console.WriteLine(responseBody);
            }
        }
    }
    catch (Exception ex)
    {
        Console.WriteLine(ex.ToString());
    }
}

public static async void GetBuilds()
{
   try
  {
      var personalaccesstoken = "PATFROMWEB";

      using (HttpClient client = new HttpClient())
       {
           client.DefaultRequestHeaders.Accept.Add(
              new System.Net.Http.Headers.MediaTypeWithQualityHeaderValue("application/json"));

           client.DefaultRequestHeaders.Authorization = new AuthenticationHeaderValue("Basic",
               Convert.ToBase64String(
                   System.Text.ASCIIEncoding.ASCII.GetBytes(
                       string.Format("{0}:{1}", "", personalaccesstoken))));

          using (HttpResponseMessage response = client.GetAsync(
                       $"https://dev.azure.com/{organization}/{project}/_apis/build/builds?api-version=5.0").Result)
           {
               response.EnsureSuccessStatusCode();
               string responseBody = await response.Content.ReadAsStringAsync();
               Console.WriteLine(responseBody);
           }
       }
   }
   catch (Exception ex)
   {
       Console.WriteLine(ex.ToString());
   }
}

curl -u :{PAT} https://dev.azure.com/{organization}/_apis/build-release/builds

コードが動作している場合は、基本認証 から OAuth に切り替えるのが良い時期です。

AT の使用方法の詳細と例については、次の記事を参照してください。

• Git 資格情報マネージャーを設定する
• REST API にアクセスする
• Mac で NuGet を使用する
• レポート クライアントを認証する
• Azure DevOps CLI の概要

書式の変更

2024 年 7 月の時点で、Azure DevOps によって発行された PAT の形式が大幅に変更されました。 これらの変更により、Azure DevOps 向けの GitHub Advanced Security などの パートナー オファリングを通じて利用できる、より多くのセキュリティ上の利点が提供され、シークレット検出ツールが向上します。 この新しい PAT 形式は、すべての Microsoft 製品で推奨される形式に従います。 より識別可能なビットを含めることで、これらのシークレット検出ツールの誤検知率が向上し、検出されたリークをより迅速に軽減できます。

主な変更:

• トークン長の増加: 新しいトークンの長さが 84 文字になり、52 文字のデータがランダム化されるようになりました。 この長さを増やすと、全体的なエントロピが向上し、トークンはブルート フォース攻撃の可能性に対してより耐性が高くなります。
• 固定署名: サービスによって発行されたトークンには、76 から 80 桁の固定 AZDO 署名が含まれます。

アクションが必要です:

• 既存の PAT を再生成する: これらのセキュリティ強化を利用するために、現在使用中のすべての AT を再生成することを強くお勧めします。
• インテグレーターのサポート: インテグレーターは、新しいトークンと既存のトークンの長さの両方に対応するようにシステムを更新する必要があります。

関連記事

• セキュリティ、認証、および承認について説明します
• Azure DevOps の既定のアクセス許可とアクセスを確認する
• ユーザーの AT を取り消す (管理者向け)
• Azure DevOps でサービス プリンシパルとマネージド ID を管理する