(Organization) Restrict Personal Access Token creation.

Warum dies wichtig ist

Persönliche Zugriffstoken (PATs) bieten eine leistungsstarke Authentifizierungsmethode für Azure DevOps, die normale interaktive Anmeldevorgänge umgeht. Wenn jedes Mitglied der Organisation ohne Einschränkungen PATs erstellen kann, steigt das Risiko von Credential-Leakage, lateraler Bewegung und unbefugtem Zugriff auf Ihre CI/CD-Pipelines erheblich. Die Einschränkung der PAT-Erstellung auf diejenigen, die sie wirklich benötigen, ist eine grundlegende Sicherheitskontrolle zum Schutz Ihrer Entwicklungsinfrastruktur.

Was Aether365 prüft

Aether365 überprüft, ob Ihre Azure DevOps-Organisation über Richtlinien verfügt, die einschränken, welche Benutzer persönliche Zugriffstoken erstellen können. Diese Prüfung wird in Ihrem Aether365-Dashboard unter der Sicherheitskategorie "microsoft-365" angezeigt.

Behebungsmethode

So schränken Sie die PAT-Erstellung für Ihre Azure DevOps-Organisation ein:

1. Melden Sie sich als Projektauflistungsadministrator bei Ihrer Azure DevOps-Organisation an.
2. Navigieren Sie zu "Organization Settings" (das Zahnradsymbol unten links).
3. Wählen Sie im Abschnitt "Security" die Option "Policies".
4. Suchen Sie die Einstellung "Allow public projects" und stellen Sie sicher, dass sie auf "Off" gesetzt ist, wenn Sie keine öffentlichen Projekte benötigen.
5. Für eine genauere Steuerung gehen Sie zu "Organization Settings", dann "Security" und dann "Permissions".
6. Suchen Sie die Berechtigung "Create Personal Access Tokens" in der Liste der Sicherheitsberechtigungen.
7. Setzen Sie diese Berechtigung auf "Deny" für Gruppen oder Benutzer, die keine PATs erstellen dürfen sollen. Lassen Sie für Gruppen, die PATs benötigen, die Einstellung auf "Allow" oder "Not set".
8. Speichern Sie Ihre Änderungen und überprüfen Sie, ob nur autorisierte Benutzer weiterhin Token generieren können.

Compliance

• Diese Steuerungsmaßnahme entspricht den Sicherheitsbest Practices, ist jedoch in den Quelldaten keiner spezifischen Compliance-Framework direkt zugeordnet.

Verwandte Ressourcen

• In den Quelldaten nicht angegeben.