通过

使用组规则分配访问级别

  • 项目

Azure DevOps Services

Azure DevOps 为 Microsoft Entra 组和 Azure DevOps 组提供基于组的访问级别，允许你通过向整个用户组分配访问级别来有效管理权限。 本文介绍如何添加组规则以向一组用户分配访问级别。 Azure DevOps 资源分配给组的所有成员。

分配组规则来管理访问级别和项目成员身份。 将用户分配到具有不同访问级别的多个规则或Microsoft Entra 组时，他们会收到其中的最高访问级别。 例如，如果 John 分配到具有不同组规则的两个Microsoft Entra 组（一个指定利益干系人访问权限和其他基本访问权限），则 John 会收到基本访问权限。

当用户离开 Microsoft Entra 组时，Azure DevOps 会根据组定义的规则调整其访问级别。 如果组是用户的唯一访问权限来源，Azure DevOps 会自动将其从组织中删除。 如果用户属于其他组，则会重新评估其访问级别和权限。

注意

  • 通过组规则对 项目读取者 所做的更改不会保留。 若要调整项目读取器，请考虑替代方法，例如 直接分配 或 自定义安全组。
  • 定期查看“用户”页的“组规则”选项卡上列出的规则。 对Microsoft Entra ID 组成员身份的更改将显示在组规则的下一次重新评估中，这些规则可在修改组规则时按需完成，或每隔 24 小时自动执行一次。 Azure DevOps 每小时更新Microsoft Entra 组成员身份，但Microsoft Entra ID 更新动态组成员身份可能需要长达 24 小时。

先决条件

权限：是项目集合管理员组的成员。 组织所有者自动是此组的成员。

添加组规则

  1. (https://dev.azure.com/{yourorganization}) 登录到组织。

  2. 选择 齿轮图标 组织设置。

    显示突出显示的“组织设置”按钮的屏幕截图。

  3. 选择“ 权限”，然后验证你是 “项目集合管理员 ”组的成员。

    显示项目集合管理员组成员的屏幕截图。

  4. 选择“ 用户”，然后选择“ 组规则”。 此视图显示所有创建的组规则。 选择“ 添加组规则”。

    显示所选的“添加组规则”按钮的屏幕截图。

    仅当您是“项目集合管理员”组的成员时，才会显示组规则。

  5. 完成要为其创建规则的组的对话框。 包括组的访问级别和组的任何可选项目访问权限。 选择 添加 。

    显示“添加组规则”对话框的屏幕截图。

    将显示一条通知，显示规则的状态和结果。 如果无法完成分配，请选择“ 查看状态 ”以查看详细信息。

    显示“组规则已完成”的屏幕截图。

重要

  • 组规则仅适用于没有直接分配的用户，以及以后添加到组的用户。 删除直接分配 ，以便组规则应用于这些用户。
  • 在用户首次尝试登录之前，用户不会显示在 所有用户 中。

管理组成员

  1. 选择“ 组规则>>”“管理成员”。 屏幕截图显示了用于管理成员的突出显示的组规则。

    保留用于按原样运行的用户访问级别的现有自动化（例如 PowerShell 脚本）。 目标是确保自动化应用的资源对这些用户准确反映。

  2. 添加成员，然后选择“ 添加”。

    添加组成员的屏幕截图。

    向用户分配相同的访问级别时，无论分配是直接还是通过组进行分配，它们仅使用一个访问级别。

验证组规则

验证资源是否已应用于每个组和单个用户。 选择“ 所有用户”，突出显示某个用户，然后选择“ 摘要”。

显示组规则的用户摘要验证的屏幕截图。

删除直接分配

若要仅通过其组成员身份管理用户的资源，请删除任何直接分配。 分配给用户的资源将单独分配，而不考虑对用户的组成员身份的更改。

  1. (https://dev.azure.com/{yourorganization}) 登录到组织。

  2. 选择 齿轮图标 组织设置。

    显示突出显示的“组织设置”按钮的屏幕截图。

  3. 选择“用户”。

    显示所选“用户”选项卡的屏幕截图。

  4. 选择具有仅按组管理的资源的所有用户。

    显示用于迁移的所选组规则的屏幕截图。

  5. 若要确认是否要删除直接分配，请选择“ 删除”。

    确认为“删除”的屏幕截图。

    直接分配将从用户中删除。 如果用户不是任何组的成员，则该用户不受影响。

常见问题

问：Visual Studio 订阅如何使用组规则？

答：Visual Studio 订阅服务器始终通过 Visual Studio 管理门户 直接分配，在 Azure DevOps 中优先于直接分配或通过组规则分配的访问级别。 从用户中心查看这些用户时，许可证源始终显示为 Direct。 唯一的例外是分配了基本 + 测试计划的 Visual Studio Professional 订阅者。 由于基本 + 测试计划在 Azure DevOps 中提供了更多访问权限，因此优先于 Visual Studio Professional 订阅。