Azure DevOps

Die Integration von Corma und Azure DevOps hält die Zugriffsebenen und Gruppen Ihrer Organisation im Einklang mit den Entwicklungsteams, die sie nutzen. Microsoft beschreibt Azure DevOps als cloudbasierte Plattform mit integrierten Tools für Softwareentwicklungsteams, von der Planung und dem Code über Builds und Tests bis zum Deployment. Die Zugriffsebenen bestimmen die Rechnung, und oft entscheidet Microsoft Entra ID darüber, wer seinen Zugriff behält.

Das Wichtigste in Kürze

• Basic-Zugriff in Azure DevOps ist für die ersten 5 Nutzer kostenlos und ab dem 6. Nutzer kostenpflichtig, während Stakeholder-Zugriff für eine unbegrenzte Zahl von Nutzern kostenlos ist.
• Wird ein Nutzer aus einer Azure-DevOps-Organisation entfernt, bleiben seine Mitgliedschaften in Microsoft-Entra-Gruppen bestehen, sodass über eine Gruppe gewährter Zugriff erhalten bleibt.
• Administratoren von Azure DevOps können globale Personal Access Tokens und solche mit vollem Geltungsbereich einschränken und eine maximale PAT-Lebensdauer festlegen, eine Richtlinie, die standardmässig deaktiviert ist.
• Das Auditing von Azure DevOps ist nur für Organisationen verfügbar, die mit Microsoft Entra ID verbunden sind, ist standardmässig deaktiviert und bewahrt Ereignisse 90 Tage lang auf.

Warum kann der Zugriff auf Azure DevOps das Offboarding überdauern?

Die Seite von Microsoft zum Entfernen von Nutzern warnt, dass das Entfernen einer Person aus der Organisation ihre Entra-Gruppenmitgliedschaften nicht aufhebt, sodass ein Mitglied einer Gruppe, die Zugriff gewährt, diesen Zugriff behält. Nutzer, die im Entra-Verzeichnis deaktiviert oder entfernt wurden, erreichen die Organisation über keinen Mechanismus mehr, auch nicht über Personal Access Tokens (PATs) oder SSH. Die Seiten von Microsoft machen unterschiedliche Angaben dazu, ob diese PATs widerrufen oder nur blockiert werden, daher ist es sicherer, sie zu widerrufen.

Service Principals und verwaltete Identitäten in Entra können Automatisierungen ausführen, ohne an das Konto eines Mitarbeitenden gebunden zu sein, und jede davon belegt eine Lizenz in jeder Organisation, in der sie eine kostenpflichtige Zugriffsebene erhält. Wird eine solche Identität aus Entra ID entfernt, bleibt ihre Mitgliedschaft in Azure DevOps bestehen. Token-Zugriffsereignisse werden nicht protokolliert: Das Audit-Log zeigt Änderungen im Lebenszyklus eines PAT, nicht aber, wann ein PAT verwendet wurde. Laut dem DevOps-Blog von Microsoft wurde die Abschaltung bestehender globaler PATs auf den 27. Januar 2027 verschoben.

So steuert Corma Azure DevOps

• Kostenpflichtige Zugriffsebenen im Blick: Die Zugriffsebenen Basic und Basic + Test Plans liegen in der SaaS-Abonnementverwaltung, und die Abrechnung endet, sobald ein ungenutztes Benutzerkonto entfernt oder auf die kostenlose Stakeholder-Ebene verschoben wird.
• Ausscheidende Mitarbeitende über die Organisation hinaus geprüft: Ein Workflow für ausscheidende Mitarbeitende im IT Workflow Builder fordert einen Admin auf, die Person nicht nur aus der Organisation, sondern auch aus Entra-Gruppen zu entfernen, die Zugriff gewähren, und ihre PATs zu widerrufen.
• Admin-Gruppen unter Prüfung: Project Collection Administrators und Project Administrators fliessen in automatisierte Access Reviews ein.
• Anwendungsidentitäten mit verantwortlicher Person: Service Principals und verwaltete Identitäten sind nicht-menschliche Identitäten, daher braucht jede davon eine namentlich benannte verantwortliche Person, während PATs an die Person gebunden bleiben, die sie erstellt hat.

Häufige Fragen

Unterstützt Azure DevOps SSO und SCIM?

Single Sign-On entsteht durch die Verbindung der Organisation mit Microsoft Entra ID: Nutzer melden sich mit ihren geschäftlichen Anmeldedaten an, und Admins können Richtlinien für Conditional Access anwenden. Microsoft dokumentiert für Azure DevOps keine separate Einrichtung von SAML oder SCIM: Die Bereitstellung läuft über Entra-Gruppenregeln und die User Entitlements REST API. Lesen Sie auch, wie Corma Microsoft Entra ID abdeckt.

Wie verbindet sich Corma mit Azure DevOps?

Dort, wo es passt, über die User Entitlements REST API, die Nutzer mit ihren Berechtigungen auflisten und einen Nutzer aus der Organisation löschen kann. Andernfalls über die browserbasierten Agenten von Corma in den Organisationseinstellungen. Lesen Sie auch, wie Corma Code-Plattformen wie GitHub abdeckt.

Wo werden die Daten von Corma gehostet?

Corma wird auf AWS betrieben, Webserver und Datenbanken laufen in Rechenzentren innerhalb der Europäischen Union. Die Daten werden bei der Übertragung und im Ruhezustand verschlüsselt, und Corma ist nach ISO/IEC 27001:2022 zertifiziert.

Sollen ausscheidende Mitarbeitende ihren Zugriff auf Azure DevOps über jede Entra-Gruppe verlieren? Demo mit Corma buchen.