Azure DevOps 服務 |Azure DevOps Server |Azure DevOps Server 2022
Azure DevOps 分析和報告可讓您深入瞭解您的開發程式，但隨之而來的是保護敏感性數據並控制組織計量存取的責任。 本文概述保護分析和報告實作的安全概念、存取控制和最佳做法。
安全性模型概觀
分析和報告安全性採用多層方法運作，包括：
- 控制數據可見性： 管理誰可以查看分析數據以及他們可以訪問哪些項目。
- 實施儀表板權限： 控制對儀表板及其基礎數據的訪問。 如需詳細資訊，請參閱 設定儀表板許可權
- 配置專案層級存取： 根據專案成員資格限制分析存取。 如需詳細資訊，請參閱 報告的預設許可權和存取權
- 管理 Power BI 整合：保護 Azure DevOps 與 Power BI 之間的連線。 如需詳細資訊，請參閱連線 到 Power BI 資料連接器
- 啟用稽核和合規性：追蹤資料存取並維護合規性要求。 如需詳細資訊，請參閱 存取、匯出及篩選稽核記錄
身分識別與存取權管理
報告的存取層級
分析和報告功能因存取層級而異。 如需每個存取層級預設權限的完整資訊，請參閱 報告的預設權限和存取權。
| 存取層級 | 分析和報告功能 |
|---|---|
| 利益相關 者 | 檢視共用儀表板、有限的分析檢視、基本圖表小工具 |
| 基本 | 完全存取分析檢視、儀表板建立和編輯、所有圖表小工具 |
| 基本 + 測試計劃 | 包括基本存取權以及 Test Plans 分析和報告 |
| Visual Studio 企業版 | 包括所有基本功能以及高級分析功能 |
如需詳細資訊，請參閱 關於存取層級。
外部工具的驗證
當您將外部報告工具連線到 Azure DevOps 時，安全驗證至關重要：
- 使用 Microsoft Entra 權杖：使用組織身分識別來增強安全性和集中管理。 如需詳細資訊，請參閱 使用 Microsoft Entra 權杖
- 配置 OAuth 應用程式： 為非 Microsoft 整合設定安全的 OAuth 流程。 如需詳細資訊，請參閱 使用 OAuth 2.0 授權存取 REST API
- 必要時使用個人存取權杖 （PAT）：只有在 Microsoft Entra ID 無法使用時，才會建立具有最小必要範圍的權杖。 如需詳細資訊，請參閱 使用個人存取權杖
- 創建服務帳戶： 使用專用帳戶進行報告工具連接。
- 配置 Windows 身份驗證： 與 Active Directory 集成以實現無縫訪問。 如需詳細資訊，請參閱 設定群組以在 Azure DevOps Server 中使用
- 使用替代身份驗證： 為外部工具啟用基於令牌的身份驗證。 如需詳細資訊，請參閱 REST API 的驗證指引
分析安全性
資料存取權限
分析安全性是建立在來源專案的資料可見度繼承原則之上：
- 基於專案的存取：使用者只能查看他們有權存取的專案的分析資料。 如需詳細資訊，請參閱 變更專案層級許可權
- 工作專案可見度：Analytics 會遵循工作專案區域路徑許可權。 如需詳細資訊，請參閱 設定工作追蹤許可權
- 儲存庫存取：程式碼指標會根據儲存庫權限進行篩選。 如需詳細資訊，請參閱 設定 Git 存放庫許可權
- 管線可見度：建置和發行分析會遵循管線安全性設定。 如需詳細資訊，請參閱 設定管線許可權
分析視圖
透過 Analytics 檢視控制對特定資料集的存取。 如需有關建立和管理 Analytics 檢視的詳細資訊，請參閱 建立 Analytics 檢視。
| 檢視類型 | 安全特性 |
|---|---|
| 共用檢視 | 所有具有適當權限的專案成員都可以存取 |
| 私人視圖 | 只有創作者才能訪問 |
| 團隊檢視 | 僅限於特定團隊成員 |
資料過濾和隱私
實施資料過濾以保護敏感資訊：
- 設定區域路徑限制：將分析資料限制為特定工作專案區域。 如需詳細資訊，請參閱 設定工作追蹤許可權
- 套用欄位層級安全性：從分析中隱藏敏感性工作專案欄位。 如需詳細資訊，請參閱 新增和修改欄位
- 管理跨項目訪問： 控制跨多個項目的可見性。
儀表板安全性
儀錶板權限
控制誰可以檢視、編輯和管理儀表板。 如需設定儀表板權限的逐步指示，請參閱 設定儀表板權限。
| 許可權等級 | 能力 |
|---|---|
| 視圖 | 檢視儀表板及其小工具 |
| Edit | 修改儀表板版面配置和小組件組態 |
| Manage | 完全控制，包括共享和權限管理 |
| 刪除 | 移除儀表板和相關聯的組態 |
小組件安全考量
不同的小工具具有不同的安全影響：
- 查詢型小工具：從基礎工作專案查詢繼承安全性。 如需詳細資訊，請參閱 設定查詢的許可權
- 分析小工具：遵循分析檢視權限和專案存取權限。
- 外部小工具：可能需要其他驗證和資料共用考量。 如需詳細資訊，請參閱 安全性最佳實務
- 自訂小工具：安全性取決於實作和資料來源。 如需詳細資訊，請參閱 新增、重新命名和刪除儀表板
小組和專案儀表板
管理不同組織層級的儀表板存取：
- 團隊儀表板：可供團隊成員和專案利害關係人存取。 如需詳細資訊，請參閱 新增小組、從一個預設小組移至數個小組
- 專案儀表板：可供所有專案參與者使用。 如需詳細資訊，請參閱 變更專案層級許可權
- 個人儀表板：對個人使用者保密
- 組織儀表板：在整個組織中可見。 如需詳細資訊，請參閱 變更組織或集合層級的許可權
如需儀表板類型和存取權的詳細資訊，請參閱 新增、重新命名和刪除儀表板。
Power BI 整合安全性
資料連接器安全性
當您搭配 Azure DevOps 使用 Power BI 時，請實作這些安全性措施。 如需詳細的設定指示，請參閱 連線到 Power BI 資料連接器。
- 搭配 Microsoft Entra ID 使用服務主體：實作應用程式型驗證，以透過集中式身分識別管理進行自動重新整理。 如需詳細資訊，請參閱 使用 Microsoft Entra 權杖
- 設定資料列層級安全性：根據使用者身分識別篩選 Power BI 資料
- 管理重新整理認證：使用 Microsoft Entra ID 驗證安全地儲存和輪替資料來源認證
- 套用工作區許可權：控制包含 Azure DevOps 數據的 Power BI 工作區的存取
Power BI 中的資料隱私權
共用 Power BI 報表時保護敏感性資料：
- 設定資料敏感度標籤：將適當的分類套用至報表和資料集
- 實作共用限制：控制誰可以存取和共用 Power BI 內容
- 監控數據使用情況： 追蹤訪問模式並識別潛在的安全問題
- 套用匯出限制：根據組織原則限制資料匯出功能
如需 Power BI 安全性最佳做法的詳細資訊，請參閱 Power BI 安全性基準。
合規性和稽核
稽核記錄
透過全面的稽核日誌追蹤分析和報告活動：
- 監控儀表板訪問： 追蹤誰查看和修改儀表板。 如需詳細資訊，請參閱 存取、匯出及篩選稽核記錄
- 稽核資料匯出：記錄使用者匯出分析資料時
- 追蹤 Power BI 連線：監視外部工具連線和資料存取
- 檢閱權限變更：維護安全性設定修改的記錄
資料保留和合規性
實施適當的資料保留政策：
- 配置分析數據保留： 為歷史數據設置適當的保留期限
- 管理儀表板生命週期： 建立儀表板封存和刪除流程
- 文件資料譜系：維護資料來源和轉換的記錄
- 實施合規報告： 生成監管要求的報告
如需資料保護的詳細資訊，請參閱 資料 保護概觀。
Analytics & Reporting 安全性的最佳做法
存取管理
- 套用最低權限原則：授與分析和報告需求的最低必要存取權
- 進行定期訪問審查： 定期審核儀表板和分析權限
- 使用群組型管理：透過安全性群組而不是個別指派來管理許可權
- 實施基於角色的訪問： 針對不同的報告需求定義標準角色
資料保護
- 分類資料敏感度：識別和保護敏感度量和報告。 如需詳細資訊，請參閱 資料保護概觀
- 實施數據屏蔽： 隱藏或混淆共享報告中的敏感信息。 如需詳細資訊，請參閱 新增和修改欄位
- 控制資料匯出：根據使用者角色限制大量資料匯出功能。 如需詳細資訊，請參閱 變更存取層級
- 監控異常訪問： 觀察數據訪問和報告中的異常模式。 如需詳細資訊，請參閱 存取、匯出及篩選稽核記錄
整合安全性
- 保護外部連接： 對所有外部報告工具使用加密連接。 如需詳細資訊，請參閱 使用 Microsoft Entra 權杖
- 驗證第三方工具： 確保外部分析工具符合安全要求。 如需詳細資訊，請參閱 安全性最佳實務
- 管理 Microsoft Entra 驗證：使用組織身分識別管理進行外部整合，而不是個別權杖。 如需詳細資訊，請參閱 使用 Microsoft Entra 權杖
- 監控整合使用情況： 通過 API 和外部連接跟踪數據訪問。 如需詳細資訊，請參閱 存取、匯出及篩選稽核記錄
組織治理
- 建立報告標準： 定義組織報告的批准工具和實踐。 如需詳細資訊，請參閱 安全性最佳實務
- 建立資料控管政策： 實施資料準確性、隱私和使用政策。 如需詳細資訊，請參閱 資料保護概觀
- 安全培訓用戶： 教育團隊安全報告實踐和潛在風險。 如需詳細資訊，請參閱 安全性最佳實務
- 文件安全程序：維護安全配置和流程的 up-to最新文檔。 如需詳細資訊，請參閱 關於權限和安全群組
常見的安全性案例
多專案分析
在跨多個專案實施分析時，請建立明確的安全邊界：
範例案例：具有多個產品小組的組織需要合併報告，同時保持專案隔離：
Organization: TechCorp
├── Project: ProductA (Team A access only)
├── Project: ProductB (Team B access only)
├── Project: Shared Services (All teams access)
└── Project: Executive Dashboard (Managers only)
在此配置中：
- 團隊成員 只能存取其指派專案的分析。 如需詳細資訊，請參閱 變更專案層級許可權
- 共用服務計量 對所有小組都可見，以進行相依性追蹤。
- 執行儀表板 提供高級指標，而不會暴露敏感的項目詳細信息。 如需詳細資訊，請參閱 設定儀表板許可權
- 跨專案查詢 會根據使用者權限進行限制。 如需詳細資訊，請參閱 建立分析檢視
外部利害關係人報告
與外部利害關係人共用報告時管理安全性：
- 創建利害關係人特定的儀表板： 設計顯示相關指標的視圖，沒有敏感細節
- 使用唯讀存取權：為外部使用者提供唯看權限
- 實施限時訪問： 設置外部用戶訪問的到期日期
- 應用數據過濾： 確保外部用戶僅看到已批准的信息
如需管理外部使用者的指引，請參閱 將外部使用者新增至您的組織。
法規遵從性報告
對於具有合規性需求的組織：
- 實施審計追蹤： 維護所有數據訪問和修改的詳細日誌。 如需詳細資訊，請參閱 存取、匯出及篩選稽核記錄
- 應用數據保留政策： 確保分析數據符合監管保留要求。 如需詳細資訊，請參閱 資料保護概觀
- 控制資料位置：對於雲端執行個體，請瞭解分析資料的儲存位置。 如需詳細資訊，請參閱 Azure DevOps 的數據位置
- 生成合規報告： 創建監管提交的標準化報告。 如需詳細資訊，請參閱 匯出具有存取層級的使用者清單
安全性設定檢查清單
初始設定
- [ ] 為分析使用者設定適當的存取層級
- [ ] 設定符合 報告需求的安全性群組
- [ ] 設定分析存取權的專案權限
- [ ] 設定小組和專案儀表板的儀表板權限
- [ ] 設定具有適當存取控制的 Analytics 檢視
- [ ] 設定工作追蹤權限 以控制資料可見性
外部整合
- [ ] 設定外部報告工具的 Microsoft Entra 驗證
- [ ] 使用 Microsoft Entra ID 驗證設定 Power BI 連線
- [ ] 在 Power BI 中針對多租用戶案例設定資料列層級安全性
- [ ] 記錄並核准所有外部工具連線
持續管理
- [ ] 定期進行分析和 儀表板存取權限審核
- [ ] 監控稽核記錄 是否有異常分析活動
- [ ] 隨著團隊變更而檢閱和更新儀表板權限
- [ ] 管理 Microsoft Entra 驗證 並輪替外部整合的認證
- [ ] 驗證分析資料篩選是否正常運作