Come archiviare le credenziali per Azure DevOps Services

  • Articolo

Azure DevOps Services

Importante

Azure DevOps non supporta più l'autenticazione delle credenziali alternative dall'inizio del 2 marzo 2020. Se si usano ancora credenziali alternative, è consigliabile passare a un metodo di autenticazione più sicuro, ad esempio token di accesso personale. Altre informazioni

Sicurezza delle credenziali

Microsoft si impegna a garantire che i progetti rimangano sicuri e sicuri, senza eccezione. In Azure DevOps i progetti possono trarre vantaggio da più livelli di tecnologie di sicurezza e governance, procedure operative e criteri di conformità. Applichiamo la privacy e l'integrità dei dati sia inattivi che in transito. Inoltre, si rispetta le procedure seguenti rispetto alle credenziali o ai segreti archiviati da Azure DevOps. Per altre informazioni su come scegliere il meccanismo di autenticazione corretto, vedere Linee guida per l'autenticazione.

Token di accesso personale (PAT)

  • Viene archiviato un hash del PAT
  • Pat non elaborato viene generato in memoria sul lato server come 32 byte generati in modo casuale tramite RNGCryptoServiceProvider e quindi condiviso con il chiamante come stringa con codifica base 32. Questo valore non è archiviato
  • L'hash PAT viene generato in memoria sul lato server come HMACSHA256Hash del PAT non elaborato usando una chiave di firma simmetrica a 64 byte archiviata nell'insieme di credenziali delle chiavi
  • L'hash viene archiviato nel database

Chiavi SSH (Secure Shell)

  • Viene archiviato un hash dell'ID organizzazione racchiuso e la chiave pubblica SSH
  • La chiave pubblica non elaborata viene fornita direttamente dal chiamante tramite SSL
  • L'hash SSH viene generato in memoria sul lato server come HMACSHA256Hash dell'ID organizzazione e della chiave pubblica non elaborata usando una chiave di firma simmetrica a 64 byte archiviata nell'insieme di credenziali delle chiavi
  • L'hash viene archiviato nel database

Credenziali OAuth (JWT)

  • Queste vengono rilasciate come token Web JSON (JWT) e NON vengono archiviate nel servizio
  • Le attestazioni in JWT rilasciate e presentate al servizio vengono convalidate usando un certificato archiviato nell'insieme di credenziali delle chiavi