Rozszerzone skanowanie zabezpieczeń i obsługa przejścia stanu dla pull requestów w GitHubie

Rozszerzamy obsługę GitHub Advanced Security, aby uwzględnić wyniki z lokalizacjami URI, zapewniając szerszą ochronę dzięki narzędziom kontenerowym i dynamicznego skanowania.

Ulepszyliśmy również sposób łączenia żądań ściągnięcia usługi GitHub z elementami roboczymi usługi Azure Boards, co ułatwia aktualizowanie stanów elementów roboczych podczas scalania żądań ściągnięcia.

Sprawdź notatki o wydaniu, aby uzyskać szczegóły.

Ogólne

• Zarządzaj zakresami o wysokich uprawnieniach, dekoratorami potoków i nieopublikowanymi rozszerzeniami
• Nakładające się sekrety dla aplikacji OAuth

Usługa GitHub Advanced Security dla usługi Azure DevOps

• Advanced Security akceptuje teraz wyniki z adresami URI

Azure Boards:

• Integracja z usługą GitHub: obsługa przejścia stanu

Ogólne

Zarządzaj zakresami o wysokich uprawnieniach, dekoratorami potoków i nieopublikowanymi rozszerzeniami

Rozszerzenia usługi Azure DevOps zwiększają funkcjonalność i przepływy pracy produktów, ale te z zakresami o wysokim poziomie uprawnień mogą stanowić różne zagrożenia.

Dodaliśmy nową funkcję, która flaguje te zakresy na stronie administracyjnej każdej organizacji i na stronie instalacji witryny Visual Studio Marketplace, pomagając administratorom podejmować świadome decyzje. Nieopublikowane rozszerzenia i dekoratory potoków są również oflagowane, aby administratorzy byli świadomi i mogli podjąć odpowiednie działania.

Aby uzyskać więcej informacji, odwiedź stronę dokumentacji .

Nakładające się sekrety dla aplikacji OAuth

Usługa Azure DevOps wprowadziła nakładające się wpisy tajne dla aplikacji OAuth — nową funkcję dostępną zarówno w interfejsie użytkownika, jak i interfejsie API, która usprawnia rotację wpisów tajnych i zmniejsza przestoje.

W przypadku nakładających się wpisów tajnych deweloperzy mogą wygenerować nowy wpis tajny, podczas gdy stary pozostaje prawidłowy, zapewniając nieprzerwany dostęp podczas rotacji wpisów tajnych. Dzięki tej aktualizacji zmniejszamy również domyślny okres ważności wpisu tajnego do 60 dni. Ponieważ aplikacje OAuth w usłudze Azure DevOps zbliżają się do wycofania w 2026 roku, ta aktualizacja zapewnia istotne ulepszenie zabezpieczeń dla zespołów, które nadal na nich polegają. Wypróbuj go dzisiaj, aby uprościć zarządzanie tajemnicami i zwiększyć niezawodność. Dowiedz się więcej w naszym wpisie w blogu.

Usługa GitHub Advanced Security dla usługi Azure DevOps

Usługa Advanced Security akceptuje teraz wyniki z lokalizacjami identyfikatora URI

Wcześniej Advanced Security odrzucała pliki SARIF zawierające wyniki z identyfikatorami URI wymienionymi jako lokalizacja alertu. Zwykle dotyczy to narzędzi do skanowania kontenerów i dynamicznych narzędzi do skanowania aplikacji. Zabezpieczenia zaawansowane mogą teraz warunkowo akceptować i wyświetlać wyniki z tych narzędzi.

Aby włączyć tę funkcję, ustaw zmienną potokową advancedsecurity.publish.allowmissingpartialfingerprints.

trigger: none

variables:
  advancedsecurity.publish.allowmissingpartialfingerprints: true


jobs:
  - job: "AdvancedSecurityPublish"
    displayName: "🛡 Publish ZAP SARIF"
    steps:
      - task: AdvancedSecurity-Publish@1
        displayName: Publish to ZAP SARIF to Advanced Security
        inputs:
          SarifsInputDirectory: $(Build.SourcesDirectory)/sarifs/

Azure Boards

Integracja z usługą GitHub: obsługa przejścia stanu

Rozszerzyliśmy naszą obsługę łączenia pull requestów z GitHub z elementami roboczymi Azure Boards! Wcześniej obsługiwane było tylko Fixes AB#{ID} słowo kluczowe. Dzięki tej aktualizacji możesz teraz użyć {State or Category} AB#{ID} polecenia , aby automatycznie przenieść elementy robocze do żądanego stanu podczas scalania.

Jeśli opis żądania pull usługi GitHub zawiera nazwę stanu (np. Validate AB#1234), stan połączonego elementu roboczego zostanie zaktualizowany w wyniku. Jeśli nazwa stanu nie jest rozpoznawana, sprawdzamy, czy jest zgodna z kategorią stanu (na przykład Resolved). Jeśli tak, element roboczy zostanie przeniesiony do pierwszego dostępnego stanu w tej kategorii.

Jeśli nie zostanie znaleziony pasujący stan lub kategoria, słowo kluczowe zostanie zignorowane i stan elementu roboczego nie zostanie zaktualizowany.

Na koniec słowo kluczowe nadal działa zgodnie z oczekiwaniami, domyślnie przechodzi do stanu "Zamknięte".

Dalsze kroki

Przejdź do usługi Azure DevOps i przyjrzyj się.

Jak przekazać opinię

Chcielibyśmy usłyszeć, co myślisz o tych funkcjach. Użyj menu Pomocy, aby zgłosić problem lub podać sugestię.

Możesz również uzyskać porady i odpowiedzi na pytania społeczności w witrynie Stack Overflow.

Dzięki,

Dan Hellem