GitHub パブリックリポジトリで見つかった個人用アクセストークンに関連する通知を受け取ることをオプトインします。

[アーティクル]
07/20/2023

現在、GitHub パブリックリポジトリにチェックインされた個人用アクセストークンが検出されると、トークン所有者に詳細な電子メール通知が送信され、イベントが Azure DevOps Organization の監査ログに記録されます。この更新プログラムでは、プロジェクトコレクション管理者が、自分のorganizationに属するユーザーの個人用アクセストークンが GitHub パブリックリポジトリで見つかった場合に通知を受け取るようにオプトインするオプションを追加しました。これにより、プロジェクトコレクション管理者は、Azure DevOps アカウントとデータを侵害する可能性のある漏洩したトークンがいつ発生しているかがわかります。

詳細については、リリースノートを参照してください。

全般

プロジェクトコレクション管理者は、organizationのユーザーに属する個人用アクセストークン (PAT) が GitHub パブリックリポジトリで見つかった場合に通知を受け取ることをオプトインできるようになりました。

注意として、Azure DevOps セキュリティチームは、GitHub のパートナーと共同で、GitHub 上のパブリックリポジトリにチェックインされた Azure DevOps PAT をスキャンし、GitHub パブリックリポジトリで見つかった場合は、トークンの所有者に電子メール通知を送信します。これは、Azure DevOps organizationの監査ログにも記録されます。

プロジェクトコレクション管理者は、[ユーザー設定] - [通知] ->> [新しいサブスクリプション] の順に移動して、これらの通知をサブスクライブできます

新しいサブスクリプション

すべての Azure DevOps 要求に対するセキュリティ検証の適用

Azure DevOps では、 X-TFS-FedAuthRedirect ヘッダーを使用して Azure DevOps リソースを呼び出すときに、特定のユーザーがセキュリティ検証をバイパスできる以前の脆弱性が閉じられます。現在、この X-TFS-FedAuthRedirect ヘッダーを使用するすべてのユーザーは、テナントによって設定された Azure Active Directory ポリシーに常に準拠し、Azure DevOps アカウントに定期的にサインインして、常にアクティブなユーザーセッションを確保する必要があります。

このヘッダーを使用していて、非準拠と見なされている場合は、 X-TFS-FedAuthRedirect で呼び出しを行うときに 401 が発生する可能性があります。このヘッダーを使用するユーザーに推奨されるアクションは、アカウントが必要なすべての管理者ポリシーを満たしていることを確認し、Azure DevOps にもう一度サインインして新しいユーザーセッションを取得し、少なくとも 90 日に 1 回は Azure DevOps にサインインし続けるか、テナント管理者によって設定されたサインイン頻度チェックの期間です。

これは Visual Studio のユーザーにも適用される場合があります。この製品では 、バックグラウンドで X-TFS-FedAuthRedirect ヘッダーを使用して呼び出しを行うこともできます。 Visual Studio 製品で 401 に遭遇した場合 (つまり、Azure DevOps リソースへのアクセスをブロックしているバナーやエラーメッセージ)、上記の同じアドバイスが適用されます。アカウントが管理者ポリシーを満たしていることを確認し、Azure DevOps に再度サインインし、中断を回避するために定期的に引き続きサインインしてください。

Azure Boards

かんばんカードの子に割り当て済み

かんばんボードカードのすべての子アイテムに Assigned To アバターを追加しました。これにより、割り当てられている項目とユーザーを簡単に理解できるようになりました。コンテキストメニューを使用して作業項目をすばやく割り当てることもできます。

アバターかんばんカードに割り当てられたデモへの GIF。

Note

この機能は、 新しい Boards Hubs プレビューで使用できます。

親 ID によるクエリの一般提供

この更新プログラムでは、通常、親 ID で作業項目を照会する機能がリリースされています。これは、親に基づいて子のフラットなリストを取得する方法を探している場合に最適な機能です。

Gif を使用して親 ID でクエリをデモします。

Azure Pipelines

エージェントサービスアカウントとしてのグループ管理サービスアカウントのサポート

Azure Pipelines エージェントは、Windows 上のセルフホステッドエージェントでグループ管理サービスアカウントをサポートするようになりました。

グループ管理サービスアカウント (gSMA) は、サービスアカウントとして機能するドメインアカウントの一元的なパスワード管理を提供します。 Azure Pipelines エージェントはこの種類のアカウントを認識できるため、構成時にパスワードは必要ありません。

.\config.cmd --url https://dev.azure.com/<Organization> `
             --auth pat --token <PAT> `
             --pool <AgentPool> `
             --agent <AgentName> --replace `
             --runAsService `
             --windowsLogonAccount <DOMAIN>\<gMSA>

情報提供の実行

情報提供の実行では、Azure DevOps が YAML パイプラインのソースコードの取得に失敗したことが通知されます。このような実行は次のようになります。

最近実行されたパイプライン

Azure DevOps は、外部イベント (プッシュされたコミットなど) に応答して YAML パイプラインのソースコードを取得します。たとえば、コードの変更がある場合にチェックし、スケジュールされた実行を開始するかどうかなど、内部トリガーに応答します。この手順が失敗すると、システムによって情報提供の実行が作成されます。これらの実行は、パイプラインのコードが GitHub または BitBucket リポジトリにある場合にのみ作成されます。

パイプラインの YAML コードの取得は、次の理由で失敗する場合があります。

リポジトリプロバイダーで障害が発生している場合
要求の調整
認証の問題
パイプラインの .yml ファイルの内容を取得できません

詳細については、「情報の実行」を参照してください。

ビルド定義 REST API `retentionRules` プロパティは廃止されました

ビルド定義 REST API の応答の種類では、このプロパティは常に空のBuildDefinitionセットをretentionRules返すので、プロパティは古いものとしてマークされるようになりました。

次の手順

Note

これらの機能は、今後 2 ~ 3 週間にわたってロールアウトされます。

Azure DevOps に向かい、見てみましょう。

Azure DevOps に移動する

フィードバックの提供方法

これらの機能に関するご意見をお聞かせください。ヘルプメニューを使用して、問題を報告したり、提案を提供したりします。

ご提案の送信

Stack Overflow のコミュニティが回答したアドバイスや質問を受けることもできます。

よろしくお願いします。

アーロン・ハルベルク

次の方法で共有

全般

Azure Boards

Azure Pipelines