Como armazenamos as suas credenciais para os Serviços de DevOps do Azure

  • Artigo

Azure DevOps Services

Importante

O Azure DevOps já não suporta a autenticação de Credenciais Alternativas desde o início de 2 de março de 2020. Se ainda estiver a utilizar Credenciais Alternativas, recomendamos vivamente que mude para um método de autenticação mais seguro (por exemplo, tokens de acesso pessoal). Saiba mais.

Segurança de credenciais

A Microsoft está empenhada em garantir que os seus projetos permanecem seguros e seguros, sem exceção. No Azure DevOps, os seus projetos beneficiam de várias camadas de tecnologias de segurança e governação, práticas operacionais e políticas de conformidade. Impomos a privacidade e integridade dos dados inativos e em trânsito. Além disso, aderimos às seguintes práticas relativamente às credenciais ou segredos que o Azure DevOps armazena. Para saber mais sobre como escolher o mecanismo de autenticação certo, veja Orientações para a autenticação.

Tokens de acesso pessoal (PATs)

  • Armazenamos um hash do PAT
  • O PAT não processado é gerado na memória no lado do servidor como 32 bytes gerados aleatoriamente através de RNGCryptoServiceProvider e, em seguida, partilhados com o autor da chamada como uma cadeia codificada com base 32. Este valor NÃO está armazenado
  • O hash PAT é gerado na memória no lado do servidor como um HMACSHA256Hash do PAT não processado com uma chave de assinatura simétrica de 64 bytes armazenada no nosso cofre de chaves
  • O hash está armazenado na nossa base de dados

Chaves secure shell (SSH)

  • Armazenamos um hash do ID da organização e da chave pública SSH
  • A chave pública não processada é fornecida diretamente pelo autor da chamada através de SSL
  • O hash SSH é gerado na memória no lado do servidor como um HMACSHA256Hash do ID da organização e chave pública não processada com uma chave de assinatura simétrica de 64 bytes armazenada no nosso cofre de chaves
  • O hash está armazenado na nossa base de dados

Credenciais OAuth (JWTs)

  • Estes são emitidos como tokens Web JSON (JWTs) totalmente auto-descritos e NÃO são armazenados no nosso serviço
  • As afirmações em JWTs emitidas e apresentadas ao nosso serviço são validadas com um certificado armazenado no nosso cofre de chaves