Hinweis
Für den Zugriff auf diese Seite ist eine Autorisierung erforderlich. Sie können versuchen, sich anzumelden oder das Verzeichnis zu wechseln.
Für den Zugriff auf diese Seite ist eine Autorisierung erforderlich. Sie können versuchen, das Verzeichnis zu wechseln.
Erweiterungen in Azure DevOps verbessern die Funktionalität und optimieren Workflows, aber einige Erweiterungen stellen möglicherweise Sicherheitsrisiken aufgrund ihrer hohen Berechtigungsbereiche oder des nicht veröffentlichten Status dar. In diesem Artikel wird erläutert, wie Sie hohe Berechtigungen, Pipelinedekortoren und unveröffentlichte Erweiterungen identifizieren und verwalten, um Ihre Azure DevOps-Organisation vor potenziellen Sicherheitsrisiken oder unerwartetem Verhalten zu schützen.
Was sind hoch privilegierte Bereiche und hoch privilegierte Erweiterungen?
Bereiche mit erhöhten Berechtigungen
Bereiche bestimmen im Allgemeinen, auf welche Ressourcen eine Erweiterung zugreifen kann, und welche Vorgänge für diese Ressourcen ausgeführt werden dürfen. Erweiterungen können mehrere Bereiche verwenden.
Was als ein Bereich mit hohen Berechtigungen definiert ist, ist ein Bereich, der übermäßig permissiv ist.
Zum Beispiel kann ein Bereich mit hohen Berechtigungen:
- Lesen, Aktualisieren und Löschen des Quellcodes
- Lesen, Schreiben und Verwalten Ihrer Identitäten und Gruppen
- Erstellen, Lesen, Aktualisieren und Löschen Ihrer Projekte
Für die vollständige Liste der Bereiche, einschließlich der Bereiche mit hohen Berechtigungen, siehe die Manifestreferenz.
Erweiterungen mit erhöhten Berechtigungen
Erweiterungen mit erhöhten Berechtigungen verwenden einen oder mehrere Bereiche mit erhöhten Berechtigungen. Da Erweiterungen mit hohen Berechtigungen auf vertrauliche Ressourcen zugreifen und kritische Vorgänge ausführen können, müssen sie sorgfältig ausgewertet werden, um sicherzustellen, dass sie den Sicherheits- und Betriebsstandards Ihrer Organisation entsprechen.
Wenn es um eine beliebige Erweiterung geht, insbesondere um eine Erweiterung mit hohen Berechtigungen, sollten Sie die folgenden Elemente berücksichtigen:
- Vertrauenswürdiger Herausgeber: Installieren und Verwenden von Erweiterungen nur, wenn Sie ihrem Code und Herausgeber vertrauen
- Überprüfen Sie die angeforderten Bereiche: Stellen Sie sicher, dass die angeforderten Bereiche für die Funktionalität der Erweiterung erforderlich sind.
- Einschränken der Nutzung: Installieren von Erweiterungen mit hohen Rechten nur, wenn sie für Ihre Workflows von entscheidender Bedeutung sind
Bewertung der Nutzung hochprivilegierter Bereiche in Azure DevOps-Erweiterungen
Einige Ihrer bereits installierten Erweiterungen könnten für die Nutzung eines hohen Berechtigungsumfangs gekennzeichnet sein. Sie können den Status im Abschnitt "Erweiterungen " der Organisationseinstellungen überprüfen.
Es wird empfohlen, Erweiterungen nur zu installieren, zu aktualisieren oder zu verwenden, wenn Sie dem Code und den Herausgebern vertrauen.
Microsoft führt Virenüberprüfungen für jede neue und aktualisierte Version einer Erweiterung aus. Dieses Feature hebt jedoch nur auf der Benutzeroberfläche hervor, ob eine bestimmte Erweiterung Bereiche mit hohen Rechten verwendet. Weitere Informationen zu den Virenscans finden Sie unter "Veröffentlichen Ihrer Erweiterung".
Verwalten von Erweiterungen mit hohen Berechtigungsbereichen
Wenn Sie eine Erweiterung mit hohen Berechtigungsbereichen identifizieren, bewerten Sie, ob die aufgerufenen Bereiche aus der Erweiterung für Ihren Anwendungsfall unerlässlich sind. Wenn die Funktionalität der Erweiterung die Bereiche nicht rechtfertigen kann, empfehlen wir, die Erweiterung nicht zu installieren oder zu verwenden, um Ihre Azure DevOps-Organisation zu schützen.
Der Visual Studio Marketplace für Azure DevOps-Erweiterungen bietet ähnliche Hinweise wie die, die auf der Administratorseite für Erweiterungen mit hohen Berechtigungsstufen zu sehen sind. Sie können also auch bereiche mit hohen Rechten identifizieren, die im Azure DevOps Visual Studio Marketplace gekennzeichnet sind, bevor die Erweiterung in Ihrer Organisation installiert wird.
Wenn Sie eine Erweiterung und insbesondere eine Erweiterung mit hohen Berechtigungsbereichen auswählen, denken Sie kritisch daran, ob die Funktionalität der Erweiterung die Verwendung dieser Bereiche rechtfertigt. Fahren Sie nur mit der Installation fort, wenn Sie dem Herausgeber und dem Code der Erweiterung vertrauen.
Sicheres Verwenden von Pipelinedecorators
Pipeline-Dekoratoren sind private Erweiterungen, die alle Pipelines in Ihrer Organisation ändern und verbessern. Außerdem werden sie als Erweiterungen mit hohen Berechtigungen klassifiziert. Gehen Sie mit Erweiterungen für Pipelinedecorators vorsichtig um und nur dann, wenn Sie ihren Entwickler*innen und dem Code vertrauen.
Beenden der Verwendung von nicht veröffentlichten Erweiterungen
Über Erweiterungen mit hohen Berechtigungen hinaus gibt die Verwaltungsseite der Erweiterung visuell an, ob eine Erweiterung vom Herausgeber nicht veröffentlicht wurde.
Wenn eine Erweiterung vom Visual Studio Marketplace von seinem Herausgeber nicht veröffentlicht wird, bedeutet dies in der Regel, dass die Erweiterung nicht mehr verwaltet wird.
Beenden Sie die Verwendung von nicht veröffentlichten Erweiterungen, indem Sie sie aus Ihrer Azure DevOps-Organisation deinstallieren.
Darüber hinaus ist mit der REST-API-Version 7.2 der Azure DevOps Services das Zeichenfolgenfeld unpublished jetzt verfügbar. Mit diesem Feld können Sie programmgesteuert Erweiterungen identifizieren, die aus dem Visual Studio Marketplace nicht veröffentlicht werden. Sie können beispielsweise einen eigenen Prozess zum Erkennen und Verwalten von nicht veröffentlichten Erweiterungen in Ihrer Azure DevOps-Organisation erstellen.