使用個人存取權杖

Azure DevOps Services | Azure DevOps Server 2022 - Azure DevOps Server 2019

個人存取令牌 （PAT） 可作為驗證 Azure DevOps 的替代密碼。 本文會引導您建立、使用、修改和撤銷 Azure DevOps 的 PAT。

關於 PAT

使用 PAT 作為 Azure DevOps 的安全性認證。 此 PAT 會識別您，並判斷存取範圍和範圍。 因此，將 PAT 視為密碼的相同層級。

當您使用Microsoft工具時，Microsoft帳戶 （MSA） 或 Microsoft Entra 識別符是可辨識和支援的方法。 但是，如果您使用不支援Microsoft或Microsoft Entra 帳戶的非Microsoft工具，或者如果您不想與這些工具共用主要認證，PAT 是替代方法。

使用下列方法建立和管理 PAT：

• 使用者介面（UI）： 透過用戶設定，如本文所述
• PAT 生命週期管理 API

若要建立非Microsoft工具的 PAT，您可以使用 Git 認證管理員 或手動產生它們。 建議您檢閱驗證 指引 ，以選擇適當的驗證機制。 PAT 為不需要大量解決方案的小型專案提供簡單的替代方案。 若沒有認證管理員，使用者每次都會輸入其認證。

建立 PAT

1. 登入您的組織 (https://dev.azure.com/{Your_Organization})。

2. 從您的首頁開啟使用者設定 ，然後選取 [個人存取權杖]。

   

3. 選取 [+ 新增權杖]。

   

4. 為您的令牌命名、選取您想要使用令牌的組織，然後將令牌設定為在設定天數之後自動到期。

   

5. 選取此令牌的範圍，以授權您的特定工作。

   例如，若要為組建和發行代理程式建立令牌以向 Azure DevOps 進行驗證，請將令牌的範圍設定為代理程式集區（讀取及管理）。 若要讀取稽核記錄事件及管理或刪除數據流，請選取 [讀取稽核記錄]，然後按兩下 [ 建立]。

   

   注意

   您可能會受限於建立完整範圍的 PAT。 如果是，您在 Microsoft Entra ID 中的 Azure DevOps 系統管理員已啟用原則，以將您限制為特定的自定義定義範圍集。 如需詳細資訊，請參閱 使用原則管理 PAT/限制建立完整範圍的 PAT。 針對自定義定義的 PAT，存取元件治理 API vso.governance所需的範圍無法在 UI 中選取。

6. 完成時，請複製權杖，並將其儲存在安全的位置。 針對您的安全性，它不會再次顯示。

   

在 Azure DevOps 中驗證所需的任何位置使用 PAT。

通知

在 PAT 的存續期間，使用者會收到兩個通知 -- 建立時的第一個通知，第二個是到期前七天。

建立 PAT 之後，您會收到類似下列範例的通知。 此通知可確認您的 PAT 已成功新增至您的組織。

下圖顯示 PAT 到期前七天的通知範例。

未預期的通知

如果您收到非預期的 PAT 通知，則可能表示系統管理員或工具為您建立 PAT。 以下列出一些範例。

• 當您透過 git.exe 連線到 Azure DevOps Git 存放庫時，會建立名為 「git： https://dev.azure.com/{Your_Organization} on YourMachine」 的令牌。
• 當您或系統管理員設定 Azure App 服務 Web 應用程式部署時，會建立名為 “Service Hooks： ： Azure App 服務： ： 部署 Web 應用程式” 的令牌。
• 當您或系統管理員將 Web 負載測試設定為管線的一部分時，就會建立名為 “WebAppLoadTestCDIntToken” 的令牌。
• 設定Microsoft Teams整合延伸模組時，會建立名為“Microsoft Teams 整合”的令牌。

使用 PAT

您的 PAT 可作為您的數位身分識別，就像密碼一樣。

Git

Git 互動需要用戶名稱，這可以是空字串以外的任何專案。 若要搭配 HTTP 基本身份驗證使用 PAT， Base64-encode 如 $MyPat 下列程式代碼區塊所示。

$MyPat = 'yourPat'
$headerValue = "Authorization: Basic " + [Convert]::ToBase64String([System.Text.Encoding]::UTF8.GetBytes(":" + $MyPat))
$env:GIT_AUTH_HEADER = $headerValue

git --config-env=http.extraheader=GIT_AUTH_HEADER clone https://dev.azure.com/yourOrgName/yourProjectName/_git/yourRepoName

MY_PAT=yourPAT # replace "yourPAT" with "PatStringFromWebUI"
HEADER_VALUE=$(echo -n "Authorization: Basic " $(printf ":%s" "$MY_PAT" | base64))

git --config-env=http.extraheader=HEADER_VALUE clone https://dev.azure.com/yourOrgName/yourProjectName/_git/yourRepoName

現有的存放庫

針對現有的存放庫，如果您已使用使用者名稱新增來源，請先執行下列命令。

git remote remove origin

否則，請執行下列命令。

git remote add origin https://dev.azure.com/<PAT>@<company_machineName>:/<path-to-git-repo> path to git repo = <project name>/_git/<repo_name> git push -u origin --all

在您的程式代碼中使用 PAT

您可以在程式代碼中使用 PAT 來驗證 API 要求，並將工作流程自動化。 若要這樣做，請在 HTTP 要求的授權標頭中包含 PAT。

Authorization: Basic BASE64_USERNAME_PAT_STRING

public static async void GetBuilds()
{
    try
    {
        var personalaccesstoken = "PATFROMWEB";

        using (HttpClient client = new HttpClient())
        {
            client.DefaultRequestHeaders.Accept.Add(
                new System.Net.Http.Headers.MediaTypeWithQualityHeaderValue("application/json"));

            client.DefaultRequestHeaders.Authorization = new AuthenticationHeaderValue("Basic",
                Convert.ToBase64String(
                    System.Text.ASCIIEncoding.ASCII.GetBytes(
                        string.Format("{0}:{1}", "", personalaccesstoken))));

            using (HttpResponseMessage response = client.GetAsync(
                        "https://dev.azure.com/{organization}/{project}/_apis/build/builds?api-version=5.0").Result)
            {
                response.EnsureSuccessStatusCode();
                string responseBody = await response.Content.ReadAsStringAsync();
                Console.WriteLine(responseBody);
            }
        }
    }
    catch (Exception ex)
    {
        Console.WriteLine(ex.ToString());
    }
}

public static async void GetBuilds()
{
   try
  {
      var personalaccesstoken = "PATFROMWEB";

      using (HttpClient client = new HttpClient())
       {
           client.DefaultRequestHeaders.Accept.Add(
              new System.Net.Http.Headers.MediaTypeWithQualityHeaderValue("application/json"));

           client.DefaultRequestHeaders.Authorization = new AuthenticationHeaderValue("Basic",
               Convert.ToBase64String(
                   System.Text.ASCIIEncoding.ASCII.GetBytes(
                       string.Format("{0}:{1}", "", personalaccesstoken))));

          using (HttpResponseMessage response = client.GetAsync(
                       $"https://dev.azure.com/{organization}/{project}/_apis/build/builds?api-version=5.0").Result)
           {
               response.EnsureSuccessStatusCode();
               string responseBody = await response.Content.ReadAsStringAsync();
               Console.WriteLine(responseBody);
           }
       }
   }
   catch (Exception ex)
   {
       Console.WriteLine(ex.ToString());
   }
}

curl -u :{PAT} https://dev.azure.com/{organization}/_apis/build-release/builds

當您的程式代碼正常運作時，最好從基本身份驗證切換到 OAuth。

如需如何使用 PAT 的詳細資訊和範例，請參閱下列文章：

• Git 認證管理員
• REST API
• Mac 上的 NuGet
• 報告用戶端
• 開始使用 Azure DevOps CLI

格式的變更

自 2024 年 7 月起，我們大幅變更 Azure DevOps 所發出的 PAT 格式。 這些變更可提供更多安全性優點，並改善透過合作夥伴供應專案提供的秘密偵測工具，例如 適用於 Azure DevOps 的 GitHub 進階安全性。 這個新的 PAT 格式會遵循所有Microsoft產品的建議格式。 包含更多可識別的位可改善這些秘密偵測工具的誤判偵測率，並讓我們更快速地減輕偵測到的洩漏。

重要變更：

• 增加令牌長度： 新的令牌現在 長度為84 個字元，且有52個字元是隨機化數據。 這個增加的長度可改善整體 Entropy，讓令牌對潛在的暴力密碼破解攻擊更具抵抗力。
• 已修正簽章： 我們服務發出的令牌包含 76-80 位置的固定 AZDO 簽章。

需要採取動作：

• 重新產生現有的 PAT： 強烈建議重新產生目前使用的所有 PAT，以利用這些安全性增強功能。
• 整合者支援： 整合者應該更新其系統，以容納新的和現有的令牌長度。

相關文章

• 瞭解安全性、驗證和授權
• 檢閱 Azure DevOps 的默認許可權和存取權
• 復原使用者 PAT （適用於系統管理員 ）
• 在 Azure DevOps 中管理服務主體和受控識別