Aan de slag met machtigingen en toegang

Azure DevOps Services | Azure DevOps Server 2022 - Azure DevOps Server 2019

In dit artikel leert u hoe u toegangsniveaus en machtigingen kunt beheren via overname, beveiligingsgroepen, rollen en meer in Azure DevOps. Ga aan de slag door de volgende belangrijke concepten te begrijpen.

• Over machtigingen:

  • Alle gebruikers die zijn toegevoegd aan Azure DevOps, worden toegevoegd aan een of meer standaardbeveiligingsgroepen.
  • Aan beveiligingsgroepen zijn machtigingen toegewezen, die toegang tot een functie of taak toestaan of weigeren.
  • Leden van een beveiligingsgroep nemen de machtigingen over die aan de groep zijn toegewezen.
  • Machtigingen worden gedefinieerd op verschillende niveaus: organisatie/verzameling, project of object.
  • Andere machtigingen worden beheerd via toewijzingen op basis van rollen, zoals teambeheerder, extensiebeheer en verschillende pijplijnresourcerollen.
  • Beheer istrators kunnen aangepaste beveiligingsgroepen definiëren voor het beheren van machtigingen voor verschillende functionele gebieden.

• Over toegangsniveaus:

  • Alle gebruikers die zijn toegevoegd aan Azure DevOps, worden toegewezen aan een toegangsniveau, dat toegang verleent of beperkt tot bepaalde webportalfuncties.
  • Er zijn drie hoofdtoegangsniveaus: Belanghebbenden, Basic en Basic + Test-plannen.
  • Toegang van belanghebbenden biedt gratis toegang tot een onbeperkt aantal gebruikers tot een beperkt aantal functies. Voor meer informatie, zie Snelzoekgids toegang als belanghebbende.

• Over preview-functies:
  • Naarmate er nieuwe functies worden geïntroduceerd, kunnen gebruikers ze in- of uitschakelen via preview-functies om ze te openen.
  • Een kleine subset van nieuwe functies wordt beheerd op organisatieniveau en ingeschakeld of uitgeschakeld door eigenaren van de organisatie.

De meeste Azure DevOps-gebruikers worden bijvoorbeeld toegevoegd aan de beveiligingsgroep Inzenders en het toegangsniveau Basic verleend. De groep Inzenders biedt lees- en schrijftoegang tot opslagplaatsen, werktracking, pijplijnen en meer. Basistoegang biedt toegang tot alle functies en taken voor het gebruik van Azure Boards, Azure-opslagplaatsen, Azure Pipelines en Azure Artifacts. Gebruikers die toegang nodig hebben om Azure-testplannen te beheren, moeten basis- en testplannen of geavanceerde toegang krijgen.

Beheerders moeten worden toegevoegd aan de groep Beheerders van projectverzamelingen of Projectbeheerders. Beheer istrators beheren beveiligingsgroepen en machtigingen van de webportal, voornamelijk van Projectinstellingen. Inzenders beheren ook machtigingen voor objecten die ze maken vanuit de webportal.

Zie de snelzoekgids voor standaardmachtigingen voor een overzicht van standaardmachtigingen.

Beveiligingsgroepen en lidmaatschap

Met het maken van een organisatie, verzameling of project maakt Azure DevOps een set standaardbeveiligingsgroepen die automatisch standaardmachtigingen worden toegewezen. Er worden meer beveiligingsgroepen gedefinieerd met de volgende acties:

• Wanneer u aangepaste beveiligingsgroepen maakt op de volgende niveaus:
  • Projectniveau
  • Organisatie- of verzamelingsniveau
  • Serverniveau (alleen on-premises)
• Wanneer u een team toevoegt, wordt er een teambeveiligingsgroep gemaakt

U kunt geen beveiligingsgroep op objectniveau maken, maar u kunt een aangepaste groep toewijzen aan een objectniveau en machtigingen toewijzen aan dat niveau. Zie Machtigingen op objectniveau instellen voor meer informatie.

Standaardbeveiligingsgroepen

De volgende beveiligingsgroepen worden standaard gedefinieerd voor elk project en elke organisatie. Doorgaans voegt u gebruikers of groepen toe aan de groepen Lezers, Inzenders of Project Beheer istrators.

Project	Organisatie of verzameling
- Build Beheer istrators -Medewerkers - Project Beheer istrators - Geldige gebruikers van project -Lezers - Release Beheer istrators - Teamnaamteam	- Projectverzameling Beheer istrators - Build Beheer istrators voor projectverzamelingen - Serviceaccounts voor het bouwen van projectverzamelingen - Proxyserviceaccounts voor projectverzameling - Serviceaccounts voor projectverzameling - Testserviceaccounts voor projectverzameling - Geldige gebruikers van projectverzameling - Gebruikers binnen projectbereik - Beveiligingsservicegroep

Zie Beveiligingsgroepen, serviceaccounts en machtigingen voor een beschrijving van elk van deze groepen. Zie Standaardmachtigingen en -toegang voor standaardmachtigingen die zijn gemaakt voor de meest voorkomende standaardbeveiligingsgroepen.

Voor gebruikers die belast zijn met het beheren van functies op projectniveau, zoals teams, gebieds- en iteratiepaden, opslagplaatsen, servicehook en service-eindpunten, voegen ze toe aan de groep Project Beheer istrators. Voor gebruikers die belast zijn met het beheren van functies op organisatie- of verzamelingsniveau, zoals projecten, beleid, processen, bewaarbeleid, agent- en implementatiegroepen en extensies, voegen ze toe aan de groep projectverzamelingen Beheer istrators. Zie Instellingen op gebruikers-, team-, project- en organisatieniveau voor meer informatie.

Zie machtigingen en groepenreferenties voor een beschrijving van elke groep en elke machtiging.

Lidmaatschaps-, machtigings- en toegangsniveaubeheer

Azure DevOps beheert de toegang via deze drie onderling verbonden functionele gebieden:

• Met Lidmaatschapsbeheer wordt het toevoegen van afzonderlijke gebruikersaccounts en groepen aan standaardbeveiligingsgroepen ondersteund. Elke standaardgroep is gekoppeld aan een set standaardmachtigingen. Alle gebruikers die zijn toegevoegd aan een beveiligingsgroep, worden toegevoegd aan de groep Geldige gebruikers. Een geldige gebruiker is iemand die verbinding kan maken met een project, verzameling of organisatie.

• Met Machtigingsbeheer wordt de toegang bepaald tot specifieke functionele taken op verschillende niveaus van het systeem. Machtigingen op objectniveau stellen machtigingen in voor een bestand, map, build-pijplijn of een gedeelde query. Machtigingsinstellingen komen overeen met Toestaan, Weigeren, Overgenomen toestaan, Overgenomen weigeren, Systeem toestaan, Systeem weigeren en Niet ingesteld. Zie machtigingenovername en beveiligingsgroepen verderop in dit artikel voor meer informatie.

• Beheer op toegangsniveau bepaalt de toegang tot webportalfuncties. Op basis van wat voor een gebruiker is gekocht, stellen beheerders het toegangsniveau van de gebruiker in op Belanghebbende, Basic, Basic + Test of Visual Studio Enterprise (voorheen Geavanceerd).

Elk functioneel gebied maakt gebruik van beveiligingsgroepen om het beheer in de hele implementatie te vereenvoudigen. U voegt gebruikers en groepen toe via de webbeheercontext. Machtigingen worden automatisch ingesteld op basis van de beveiligingsgroep waaraan u gebruikers toevoegt. Of machtigingen worden opgehaald op basis van het object-, project-, verzameling- of serverniveau waaraan u groepen toevoegt.

Leden van een beveiligingsgroep kunnen een combinatie zijn van gebruikers, andere groepen en Microsoft Entra-groepen.

Active Directory- en Microsoft Entra-beveiligingsgroepen

U kunt beveiligingsgroepen vullen door afzonderlijke gebruikers toe te voegen. Voor eenvoudiger beheer is het echter eenvoudiger als u deze groepen vult met behulp van Microsoft Entra ID voor Azure DevOps Services en Active Directory (AD) of Windows-gebruikersgroepen voor Azure DevOps Server. Met deze methode kunt u groepslidmaatschap en machtigingen efficiënter beheren op meerdere computers.

Als u slechts een kleine set gebruikers hoeft te beheren, kunt u deze stap overslaan. Als u echter voorspelt dat uw organisatie kan groeien, kunt u Active Directory of Microsoft Entra-id instellen. Als u van plan bent om extra services te betalen, moet u ook Microsoft Entra-id instellen voor gebruik met Azure DevOps ter ondersteuning van facturering.

Notitie

Zonder Microsoft Entra-id moeten alle Azure DevOps-gebruikers zich aanmelden met Behulp van Microsoft-accounts en moet u accounttoegang beheren door afzonderlijke gebruikersaccounts. Zelfs als u accounttoegang beheert met behulp van Microsoft-accounts, moet u een Azure-abonnement instellen om de facturering te beheren.

Zie Verbinding maken uw organisatie naar Microsoft Entra ID om Microsoft Entra ID in te stellen voor gebruik met Azure DevOps Services.

Wanneer uw organisatie is verbonden met Microsoft Entra ID, zijn er veel organisatiebeleidsregels die u kunt in- of uitschakelen om uw organisatie te beveiligen. Zie Voor meer informatie over beveiliging, verificatie en autorisatie, beveiligingsbeleid.

Raadpleeg de volgende artikelen om de toegang van de organisatie met Microsoft Entra-id te beheren:

• Gebruikers toevoegen of verwijderen met behulp van Microsoft Entra ID
• Problemen met toegang met Microsoft Entra-id oplossen

Azure DevOps registreert de wijzigingen die worden aangebracht in een Microsoft Entra-groep binnen een uur na die wijziging in Microsoft Entra-id. Alle machtigingen die worden overgenomen via groepslidmaatschap, worden vernieuwd. Als u uw Microsoft Entra-lidmaatschap en overgenomen machtigingen in Azure DevOps wilt vernieuwen, meldt u zich af en meldt u zich vervolgens weer aan of activeert u een vernieuwing om uw machtiging opnieuw te beoordelen.

Geldige gebruikersgroepen

Wanneer u accounts van gebruikers rechtstreeks aan een beveiligingsgroep toevoegt, worden ze automatisch toegevoegd aan een van de geldige gebruikersgroepen.

• Geldige gebruikers van projectverzameling: alle leden die zijn toegevoegd aan een groep op organisatieniveau.
• Geldige gebruikers van project: alle leden die zijn toegevoegd aan een groep op projectniveau.

De standaardmachtigingen die aan deze groepen zijn toegewezen, zijn voornamelijk beperkt tot leestoegang, zoals Build-resources weergeven, Informatie op projectniveau weergeven en Informatie op verzamelingsniveau weergeven.

Alle gebruikers die u aan het ene project toevoegt, kunnen de objecten in andere projecten in een verzameling bekijken. Als u de toegang tot de weergave wilt beperken, kunt u beperkingen instellen via het gebiedspadknooppunt.

Als u de machtiging Gegevens op exemplaarniveau weergeven voor een van de groepen Geldige gebruikers verwijdert of weigert, hebben geen leden van de groep toegang tot het project, de verzameling of de implementatie, afhankelijk van de groep die u hebt ingesteld.

Groep Gebruikers met projectbereik

Standaard kunnen gebruikers die zijn toegevoegd aan een organisatie, alle organisatie- en projectgegevens en -instellingen bekijken. Deze instellingen omvatten een lijst met gebruikers, een lijst met projecten, factureringsgegevens, gebruiksgegevens en meer die toegankelijk zijn via organisatie-instellingen.

Belangrijk

• De beperkte zichtbaarheidsfuncties die in deze sectie worden beschreven, zijn alleen van toepassing op interacties via de webportal. Met de REST API's of azure devops CLI-opdrachten hebben projectleden toegang tot de beperkte gegevens.
• Gastgebruikers die lid zijn van de beperkte groep met standaardtoegang in Microsoft Entra ID, kunnen niet zoeken naar gebruikers met de personenkiezer. Wanneer de preview-functie is uitgeschakeld voor de organisatie of wanneer gastgebruikers geen lid zijn van de beperkte groep, kunnen gastgebruikers naar verwachting alle Microsoft Entra-gebruikers doorzoeken.

Als u bepaalde gebruikers, zoals Belanghebbenden, Microsoft Entra-gastgebruikers of leden van een bepaalde beveiligingsgroep, wilt beperken, kunt u de functie Zichtbaarheid en samenwerking van gebruikers beperken tot specifieke preview-functies voor projecten voor de organisatie. Zodra deze optie is ingeschakeld, hebben alle gebruikers of groepen die zijn toegevoegd aan de groep Gebruikers met projectbereik, geen toegang meer tot de pagina's organisatie-instellingen , met uitzondering van Overzicht en Projecten, en hebben ze alleen toegang tot de projecten waaraan ze zijn toegevoegd.

Waarschuwing

Wanneer de preview-functie van gebruikers beperken tot specifieke projecten is ingeschakeld voor de organisatie, kunnen gebruikers met projectbereik niet zoeken naar gebruikers die via microsoft Entra-groepslidmaatschap aan de organisatie zijn toegevoegd, in plaats van via een expliciete gebruikersuitnodiging. Dit is een onverwacht gedrag en er wordt aan een oplossing gewerkt. Als u dit probleem zelf wilt oplossen, schakelt u de functie Zichtbaarheid en samenwerking van gebruikers beperken tot specifieke preview-functies voor projecten voor de organisatie uit.

Zie Preview-functies beheren voor meer informatie.

Notitie

Beveiligingsgroepen behoren tot het organisatieniveau, zelfs als ze alleen toegang hebben tot een specifiek project. Sommige groepen zijn mogelijk verborgen in de webportal, afhankelijk van gebruikersmachtigingen. U vindt alle groepsnamen in een organisatie met het azure devops CLI-hulpprogramma of onze REST API's. Zie Beveiligingsgroepen toevoegen en beheren voor meer informatie.

Toegangsniveaus

Toegangsniveaus bepalen welke functies zichtbaar zijn voor gebruikers in de webportal. Toegang is afhankelijk van gebruikerslicenties.

Als u een gebruiker toegang wilt geven tot Agile-portfoliobeheer- of testcasebeheerfuncties, wijzigt u toegangsniveaus en geen machtigingen.

Als u het toegangsniveau instelt voor gebruikers of groepen, hebben ze geen toegang tot een project of de webportal. Alleen gebruikers of groepen die zijn toegevoegd aan een team of beveiligingsgroep, kunnen verbinding maken met een project en de webportal. Zorg ervoor dat uw gebruikers beschikken over zowel de machtigingen als het toegangsniveau dat ze nodig hebben. U doet dit door ervoor te zorgen dat ze worden toegevoegd aan het project of een team.

Machtigingen

Zoals wordt weergegeven in de volgende afbeelding, kunnen beveiligingsgroepen die zijn gedefinieerd op project- en verzamelingsniveau, worden toegewezen aan machtigingen die zijn toegewezen op object-, project- en organisatieniveau.

Zie Beveiligingsgroepen, serviceaccounts en machtigingen voor een beschrijving van elke standaardbeveiligingsgroep.

Machtigingsstatussen

Een machtiging kan de volgende toewijzingen hebben. Ze verlenen of beperken de toegang zoals aangegeven.

Gebruiker of groep heeft machtigingen om een taak uit te voeren:

• Toestaan
• Toestaan (overgenomen)
• Toestaan (systeem)

Gebruiker of groep is niet gemachtigd om een taak uit te voeren:

• Weigeren
• Weigeren (overgenomen)
• Weigeren (systeem)
• Niet ingesteld

Machtigingsstatus	Beschrijving
Toestaan	Verleent gebruikers expliciet specifieke taken uit te voeren en wordt niet overgenomen van groepslidmaatschap.
Toestaan (overgenomen)	Verleent groepsleden specifieke taken uit te voeren.
Toestaan (systeem)	Verleent machtigingen die voorrang hebben voor gebruikersmachtigingen. Niet bewerkbaar en opgeslagen in een configuratiedatabase, onzichtbaar voor gebruikers.
Weigeren	Beperkt gebruikers expliciet tot het uitvoeren van specifieke taken en wordt niet overgenomen van groepslidmaatschap. Voor de meeste groepen en bijna alle machtigingen overschrijft Weigeren toestaan. Als een gebruiker deel uitmaakt van twee groepen en een van deze groepen een specifieke machtiging heeft ingesteld op Weigeren, kan die gebruiker geen taken uitvoeren waarvoor die machtiging is vereist, zelfs niet als deze deel uitmaakt van een groep met die machtigingen die is ingesteld op Toestaan.
Weigeren (overgenomen)	Hiermee worden groepsleden beperkt tot het uitvoeren van specifieke taken. Hiermee wordt een expliciete acceptatie overschreven.
Weigeren (systeem)	Hiermee wordt de machtiging beperkt die voorrang heeft voordat gebruikersmachtigingen worden gebruikt. Niet bewerkbaar en opgeslagen in een configuratiedatabase, onzichtbaar voor gebruikers.
Niet ingesteld	Impliciet weigert gebruikers de mogelijkheid om taken uit te voeren waarvoor die machtiging is vereist, maar staat lidmaatschap toe aan een groep met die machtiging om prioriteit te krijgen, ook wel toestaan (overgenomen) of Weigeren (overgenomen).

In sommige gevallen kunnen leden van de groepen Projectverzamelingen Beheer istrators of Team Foundation Beheer istrators altijd de machtiging krijgen, zelfs als ze die machtiging in een andere groep worden geweigerd. In andere gevallen, zoals het verwijderen van werkitems of pijplijnen, als lid van de groep Projectverzameling Beheer istrators, worden de machtigingen die elders zijn ingesteld, niet overgeslagen.

Waarschuwing

Wanneer u een machtiging voor een groep wijzigt, wordt die machtiging gewijzigd voor alle gebruikers die lid zijn van die groep. Afhankelijk van de grootte van de groep kan dit van invloed zijn op de mogelijkheid van honderden gebruikers om hun taken uit te voeren door slechts één machtiging te wijzigen. Zorg er dus voor dat u de mogelijke effecten begrijpt voordat u een wijziging aanbrengt.

Overname van machtigingen en beveiligingsgroepen

Sommige machtigingen worden beheerd via een hiërarchie. In deze hiërarchie kunnen machtigingen worden overgenomen van het bovenliggende item of worden overschreven. Beveiligingsgroepen wijzen een set machtigingen toe aan die leden van de groep. Leden van de groep Inzenders of Project Beheer istrators worden bijvoorbeeld toegewezen aan de machtigingen die zijn ingesteld als Toegestaan voor deze groepen.

Als een machtiging niet rechtstreeks is toegestaan of geweigerd voor een gebruiker, kan deze op de volgende manieren worden overgenomen.

• Gebruikers nemen machtigingen over van de groepen waartoe ze behoren. Wanneer een gebruiker een machtiging voor direct of groepslidmaatschap toestaan heeft, wordt deze overschreven door een machtiging voor direct of groepslidmaatschap weigeren.

  Leden van projectverzamelingen Beheer istrators of Team Foundation-Beheer beheerders behouden de meeste toegestane machtigingen, zelfs als ze deel uitmaken van andere groepen die deze machtigingen weigeren. Bewerkingsmachtigingen voor werkitems zijn de uitzondering op deze regel.

• Machtigingen op objectniveau die zijn toegewezen voor knooppunten van een hiërarchie, gebieden, iteraties, mappen met versiebeheer, werkitemquerymappen, worden overgenomen in de hiërarchie. Dat wil gezegd: de machtigingen van een gebruiker die zijn ingesteld om area-1 overgenomen te worden door area-1/sub-area-1, als dezelfde machtiging niet expliciet is toegestaan of geweigerd voor area-1/sub-area-1. Als een machtiging expliciet is ingesteld voor een object, zoals area-1/sub-area-1, wordt het bovenliggende knooppunt niet overgenomen, ongeacht of het wordt geweigerd of toegestaan. Als deze niet is ingesteld, worden de machtigingen voor dat knooppunt overgenomen van de dichtstbijzijnde bovenliggende bovenliggende instantie waarvoor de machtiging expliciet is ingesteld. Ten slotte, in de objecthiërarchie, treft specificiteit overname. Een gebruiker waarvan de machtigingen bijvoorbeeld expliciet zijn ingesteld op Weigeren op 'gebied-1', maar die ook expliciet zijn ingesteld op Toestaan voor 'gebied-1/subgebied-1' ontvangt de optie Toestaan op gebied-1/subgebied-1.

Als u wilt weten waarom een machtiging wordt overgenomen, kunt u een machtigingsinstelling onderbreken en vervolgens Waarom kiezen? Zie Machtigingen weergeven om een beveiligingspagina te openen.

Notitie

Zie Preview-functies inschakelen om de pagina Met instellingen voor projectmachtigingen in te schakelen.

Voorbeeldpagina

Er wordt een nieuw dialoogvenster geopend met de overnamegegevens voor die machtiging.

Huidige pagina

Er wordt een nieuw venster geopend met de overnamegegevens voor die machtiging.

Aanbevolen procedures voor machtigingen

Doen:

• Gebruik Microsoft Entra ID, Active Directory of Windows-beveiligingsgroepen wanneer u veel gebruikers beheert.
• Wanneer u een team toevoegt, moet u overwegen welke machtigingen u wilt toewijzen aan teamleiders, scrummodellen en andere teamleden. Overweeg wie gebiedspaden, iteratiepaden en query's maakt en wijzigt.
• Wanneer u veel teams toevoegt, kunt u een aangepaste groep team Beheer istrators maken, waar u een subset kunt toewijzen van de machtigingen die beschikbaar zijn voor Project Beheer istrators.
• Overweeg om de werkitemquerymappen een bijdragemachtiging te verlenen aan gebruikers of groepen waarvoor de mogelijkheid is om werkitemquery's voor het project te maken en te delen.

Niet doen:

• Voeg geen gebruikers toe aan meerdere beveiligingsgroepen, die verschillende machtigingsniveaus bevatten. In bepaalde gevallen kan een machtigingsniveau Weigeren een machtigingsniveau Toestaan overschrijven.
• Wijzig de standaardtoewijzingen die zijn gemaakt in de groepen Geldige gebruikers niet. Als u de machtiging Gegevens op exemplaarniveau weergeven verwijdert of instelt op Weigeren voor een van de groepen Geldige gebruikers, hebben geen gebruikers in de groep toegang tot het project, de verzameling of de implementatie, afhankelijk van de groep die u hebt ingesteld.
• Wijs geen machtigingen toe die worden vermeld als 'Alleen toewijzen aan serviceaccounts' aan gebruikersaccounts.

Machtigingen op basis van rollen

Met op rollen gebaseerde machtigingen wijst u gebruikersaccounts of beveiligingsgroepen toe aan een rol, waarbij aan elke rol een of meer machtigingen zijn toegewezen. Hier volgen de primaire rollen en koppelingen naar meer informatie.

• Beveiligingsrollen voor artefacten of pakketfeeds: rollen ondersteunen verschillende machtigingsniveaus voor het bewerken en beheren van pakketfeeds.
• Rol marketplace-extensiebeheer: leden van de rol Manager kunnen extensies installeren en reageren op aanvragen voor extensies die moeten worden geïnstalleerd.
• Pijplijnbeveiligingsrollen: verschillende rollen worden gebruikt voor het beheren van bibliotheekbronnen, pijplijnbronnen op projectniveau en op verzamelingsniveau.
• Teambeheerdersrol Teambeheerders kunnen alle teamhulpprogramma's beheren.

Leden van de groepen Project Beheer istrators of Projectverzameling Beheer istrators kunnen alle teamhulpprogramma's voor alle teams beheren.

Previewfuncties

Functievlagmen bepalen de toegang om nieuwe functies te selecteren. Azure DevOps introduceert regelmatig nieuwe functies door ze achter een functievlag te plaatsen. Projectleden en eigenaren van organisaties kunnen preview-functies in- of uitschakelen. Zie Functies beheren of inschakelen voor meer informatie.

Volgende stappen

Standaardmachtigingen en toegang

Verwante artikelen:

• Toegangs- en machtigingsproblemen oplossen
• Over beveiliging, verificatie en autorisatie
• Wat is Microsoft Entra ID?
• Aan de slag met Microsoft Entra ID
• Naslaginformatie over machtigingen en groepen
• Hulpprogramma's voor beveiligings- en machtigingsbeheer
• Gebruikers toevoegen aan een organisatie
• Beveiligingsgroepen toevoegen en beheren
• Tokens, naamruimten, machtigingen beheren
• Hoe facturering werkt
• Facturering instellen om te betalen voor gebruikers, pijplijnen en belastingstests in de cloud in Azure DevOps