Azure DevOps 服務 |Azure DevOps Server |Azure DevOps Server 2022
本文說明如何在組織、專案和存放庫 （或其他物件） 層級檢視權限並檢查使用者和群組的有效存取權。 它說明許可權狀態 （允許、拒絕、繼承）、繼承和群組成員資格如何影響有效許可權，以及針對常見存取問題進行疑難排解的步驟。
您將學到什麼：
- 在入口網站中檢視權限指派的位置。
- 如何檢查使用者或群組的有效權限。
- 權限沒有預期效果的常見原因，繼承、拒絕、利害關係人存取、Microsoft Entra ID 群組對應。
快速步驟：
- 開啟 [組織設定] 或 [專案設定>安全性] （或 [許可權]。
- 選取物件 （專案、存放庫或群組） 並檢視指派的權限。
- 使用「使用者/群組」或「有效權限」UI來檢查有效存取權。
- 如有需要，請檢查群組成員資格並拒絕覆寫允許的規則。
注意
許可權管理功能和 UI 在 Azure DevOps Services （雲端） 與內部部署 Azure DevOps Server 之間略有不同。 下列指引會指出適用的 UI 差異。
權限模型基本概念
Azure DevOps 中的許可權會使用三種指派狀態：
- 允許 — 明確授與許可權。
- 拒絕 — 明確拒絕權限並覆寫 允許。
- 繼承 — 此層級沒有明確的指派;權限會繼承自父範圍或群組成員資格。
有效權限是透過評估跨以下項目的指派來計算的：
- 物件本身（專案、存放庫、區域路徑等）
- 父範圍 （集合、組織、專案）
- 群組成員資格 （內建群組、自訂群組、Microsoft Entra ID 群組）
- 明確拒絕指派 （優先）
「有效」權限的含義：
有效許可權是 Azure DevOps 評估每個相關許可權指派之後，使用者或群組實際對物件擁有的淨存取權。 系統會結合物件、父範圍及所有群組成員資格中的明確允許和拒絕指派；明確拒絕的項目將被優先處理。 在實踐中，「有效權限」顯示的是最終結果（某人實際可以做什麼），而不是對該結果做出貢獻的每個單獨任務。
如需權限解析和繼承的深入瞭解，請參閱 關於權限、權限狀態。
在何處檢視權限
您可以視物件而定，在入口網站中的多個位置檢視許可權：
- 組織或集合層級：組織設定>安全性（或組織化設定>權限）。
- 專案層級： 專案設定>許可權 （或舊版 UI 中的 專案設定>安全性 ）。
- 存放庫、管線、面板或其他資源：開啟資源，然後開啟 [ 設定 ] 或 [ 安全性 ] （例如， 存放庫> 選取 存放庫>[安全性]）。
[ 安全性/權限] 頁面會顯示指派的群組和使用者，以及您可以依使用者或群組篩選的權限矩陣。
檢查有效權限 （UI）
登入
https://dev.azure.com/{Your_Organization}。轉到您要檢查的對象（組織、項目、存儲庫等）。
選取 [專案設定] 或 [組織設定>] [許可權] （或 [安全性]）。
選擇 [ 使用者 ] 或 [群組]，選取您要檢查的身分識別，然後檢視權限方格。
使用任何提供的「有效權限」連結或按鈕 （如果有的話） 來計算所選物件上所選身分的最終有效權限。
- 登入至您的伺服器或集合入口。
- 移至 [專案設定>安全性 ] （或 [組織/集合設定 > 安全性]）。
- 選取群組或使用者，然後檢查權限矩陣。 在對話方塊中使用篩選器和有效權限控制項。
檢查有效權限（使用命令列介面/REST接口）
如果您偏好自動化，請使用 REST API 讀取 ACL 或 Azure DevOps CLI/PowerShell 模組來編寫許可權檢查的腳本。 查詢資源的安全命名空間並評估 ACL 位元以計算有效存取。
常見案例和疑難排解
- 拒絕優先於允許：在任何範圍的情況下，明確的拒絕設定將優先執行。 檢查較高或較低範圍的拒絕存取，以及不同群組成員資格間的拒絕存取。
- 多個群組的成員資格：有效權限會結合不同群組的指派，任何群組中的否認權限都會適用。
- 繼承自父範圍：如果權限在目前層級為 [繼承]，請檢查父範圍是否有指派。
- Microsoft Entra ID 群組對應：如果透過 Microsoft Entra 群組新增使用者，請確定正確的群組已同步至 Azure DevOps，而且群組的成員資格是您預期的。
- 專案關係人存取限制：無論權限指派為何，具有專案關係人存取權的使用者都有有限的功能可用性，如果使用者無法執行動作，請驗證存取層級。
- 動態或暫時存取：某些原則 （例如條件式存取） 或外部布建可能會影響登入/存取 - 如果登入失敗，請檢查 Microsoft Entra 條件式存取原則。
快速疑難排解清單
- 確認用來登入的使用者帳戶 （符合 Azure DevOps 中顯示的身分識別） 。
- 檢查使用者的直接和間接群組成員資格。
- 在物件和父範圍中搜尋任何明確的拒絕權限指派。
- 檢查使用者的存取層級 （利害關係人與基本） 和授權限制。
- 如果您使用 Microsoft Entra 群組，請確認群組同步處理和成員資格。
- 如有需要，請使用 REST/CLI 列出資源的 ACL，並以程式設計方式進行評估。
審計和歷史記錄
如果您的組織已啟用稽核，請使用稽核記錄 （組織設定 > 稽核記錄） 來追蹤安全性群組、權限指派和成員資格變更的變更。 稽核事件可協助追蹤權限或成員資格變更的時間。