在服务挂钩中设置组的“查看”权限

项目
08/06/2024

Azure DevOps Services | Azure DevOps Server 2022 - Azure DevOps Server 2019

默认情况下，只有项目管理员具有 “查看 ”或 “编辑” 权限。若要直接向其他用户授予这些权限，可以使用命令行工具或安全 REST API。

显示不具有权限的 ServiceHooks 页面的屏幕截图。

安全ServiceHooks命名空间 ID 在“列出安全命名空间”下定义cb594ebe-87dd-4fc9-ac2c-6a10a4c92046

先决条件

安装 Azure CLI 以运行 az devops 命令。如何安装 Azure CLI
为 Azure DevOps 配置文件创建个人访问令牌（PAT ）。确保你是项目集合管理员（PCA）组的成员。
- 标识（读取）
- Graph （读取）
- 安全性（管理）

使用 az devops login. 登录 Azure DevOps。如果没有 az devops 扩展，请安装它。

> az devops login
The command requires the extension azure-devops. Do you want to install it now? The command will continue to run after the extension is installed. (Y/n): Y

可以将组织定义为默认组织。否则，请为每个命令定义 --org "https://dev.azure.com/{organization}" 。
```
az devops configure --defaults organization="https://dev.azure.com/{organization}"
```

检查是否可以查看组织的权限列表。

az devops security permission namespace list --org "https://dev.azure.com/{organization}"

读取组标识和权限令牌

查找组标识描述符。

> az devops security group list --project ac515e82-560c-4af8-845b-9f7f968d8e7b --output table

Name                                             Descriptor
-----------------------------------------------  --------------------------------------------------------------------------------------------------------------------------------------------------
[TEAM FOUNDATION]\EntraServiceHooksRead          aadgp.Uy0xLTktMTU1MTM3NDI0NS0xMjA0NDAwOTY5LTI0MDI5ODY0MTMtMjE3OTQwODYxNi0zLTM5NTQxNzM3ODYtMTUyMTA4MTkyNS0yNTQwNTA4MjYzLTMzNDgxNjQxNjg

如果要按组名称进行筛选，可以使用 findstr 或 grep 命令取决于命令提示符。

获取权限令牌。

> az devops security permission list --id cb594ebe-87dd-4fc9-ac2c-6a10a4c92046 --subject <Group or user descriptor> --output table

Token                                                   Effective Allow    Effective Deny
------------------------------------------------------  -----------------  ----------------
PublisherSecurity                                       0                  0
PublisherSecurity/ac515e82-560c-4af8-845b-9f7f968d8e7b  0                  0

更新服务挂钩的读取权限

可为其 --allow-bit定义的权限列表。

查看订阅
编辑订阅
删除订阅
发布事件

> az devops security permission namespace show --id cb594ebe-87dd-4fc9-ac2c-6a10a4c92046

[
  {
    "actions": [
      {
        "bit": 1,
        "displayName": "View Subscriptions",
        "name": "ViewSubscriptions",
        "namespaceId": "cb594ebe-87dd-4fc9-ac2c-6a10a4c92046"
      },
      {
        "bit": 2,
        "displayName": "Edit Subscription",
        "name": "EditSubscriptions",
        "namespaceId": "cb594ebe-87dd-4fc9-ac2c-6a10a4c92046"
      },
      {
        "bit": 4,
        "displayName": "Delete Subscriptions",
        "name": "DeleteSubscriptions",
        "namespaceId": "cb594ebe-87dd-4fc9-ac2c-6a10a4c92046"
      },
      {
        "bit": 8,
        "displayName": "Publish Events",
        "name": "PublishEvents",
        "namespaceId": "cb594ebe-87dd-4fc9-ac2c-6a10a4c92046"
      }
    ],
    "dataspaceCategory": "Default",
    "displayName": "ServiceHooks",
    "elementLength": -1,
    "extensionType": null,
    "isRemotable": true,
    "name": "ServiceHooks",
    "namespaceId": "cb594ebe-87dd-4fc9-ac2c-6a10a4c92046",
    "readPermission": 1,
    "separatorValue": "/",
    "structureValue": 1,
    "systemBitMask": 0,
    "useTokenTranslator": true,
    "writePermission": 7
  }

设置 组的“视图 ”访问权限。查看 ServiceHooks 订阅等于 1。--allow-bit

> az devops security permission update --namespace-id cb594ebe-87dd-4fc9-ac2c-6a10a4c92046 --subject <Group or user descriptor> --token PublisherSecurity/ac515e82-560c-4af8-845b-9f7f968d8e7b --allow-bit 1

[
  {
    "acesDictionary": {
      "Microsoft.TeamFoundation.Identity;S-1-9-1551374245-1204400969-2402986413-2179408616-3-3954173786-1521081925-2540508263-3348164168": {
        "allow": 1,
        "deny": 0,
        "descriptor": "Microsoft.TeamFoundation.Identity;S-1-9-1551374245-1204400969-2402986413-2179408616-3-3954173786-1521081925-2540508263-3348164168",
        "extendedInfo": {
          "effectiveAllow": 1
        },
        "resolvedPermissions": [
          {
            "bit": 1,
            "displayName": "View Subscriptions",
            "effectivePermission": "Allow",
            "name": "ViewSubscriptions"
          }
        ]
      }
    },
    "includeExtendedInfo": true,
    "inheritPermissions": true,
    "token": "PublisherSecurity/ac515e82-560c-4af8-845b-9f7f968d8e7b"
  }
]

获取权限令牌以查看更改。

> az devops security permission list --id cb594ebe-87dd-4fc9-ac2c-6a10a4c92046 --subject <Group or user descriptor> --output table

Token                                                   Effective Allow    Effective Deny
------------------------------------------------------  -----------------  ----------------
PublisherSecurity                                       0                  0
PublisherSecurity/ac515e82-560c-4af8-845b-9f7f968d8e7b  1                  0

以下示例显示用户可以看到服务挂钩订阅。

显示具有权限的 ServiceHooks 页的屏幕截图。

重置组的所有服务挂钩权限

如果需要重置组或用户的所有服务挂钩权限，可以调用 reset-all。

> az devops security permission reset-all --id cb594ebe-87dd-4fc9-ac2c-6a10a4c92046 --subject <Group or user descriptor> --token PublisherSecurity/ac515e82-560c-4af8-845b-9f7f968d8e7b

Are you sure you want to reset all explicit permissions for this user/group and token? (y/n): Y
true

> az devops security permission list --id cb594ebe-87dd-4fc9-ac2c-6a10a4c92046 --subject <Group or user descriptor> --output table
Token                                                   Effective Allow    Effective Deny
------------------------------------------------------  -----------------  ----------------
PublisherSecurity                                       0                  0
PublisherSecurity/ac515e82-560c-4af8-845b-9f7f968d8e7b  0                  0

以下示例显示用户在重置权限后无法查看服务挂钩订阅。

通过

在服务挂钩中设置组的“查看”权限

先决条件

读取组标识和权限令牌

更新服务挂钩的读取权限

重置组的所有服务挂钩权限

反馈

其他资源