(Organization) Restrict Personal Access Token creation.

Por qué es importante

Los tokens de acceso personal (PAT) proporcionan un método de autenticación eficaz para Azure DevOps que omite los flujos de inicio de sesión interactivos normales. Cuando cualquier miembro de la organización puede crear PAT sin restricciones, el riesgo de filtración de credenciales, movimientos laterales y acceso no autorizado a sus canalizaciones de CI/CD aumenta significativamente. Limitar la creación de PAT solo a quienes realmente lo necesitan es un control de seguridad fundamental para proteger su infraestructura de desarrollo.

Qué comprueba Aether365

Aether365 verifica que su organización de Azure DevOps tenga políticas establecidas para restringir qué usuarios pueden crear tokens de acceso personal. Esta comprobación aparece en el panel de control de Aether365 bajo la categoría de seguridad microsoft-365.

Cómo solucionarlo

Para restringir la creación de PAT en su organización de Azure DevOps:

1. Inicie sesión en su organización de Azure DevOps como administrador de colección de proyectos.
2. Vaya a Configuración de la organización (el icono de engranaje en la esquina inferior izquierda).
3. En la sección Seguridad, seleccione Políticas.
4. Busque la opción denominada "Allow public projects" y asegúrese de que esté desactivada si no necesita proyectos públicos.
5. Para un control más detallado, vaya a Configuración de la organización, luego Seguridad y después Permisos.
6. Busque el permiso "Create Personal Access Tokens" en la lista de permisos de seguridad.
7. Establezca este permiso en "Deny" para los grupos o usuarios que no deban crear PAT. Para los grupos que necesiten crear PAT, déjelo como "Allow" o "Not set".
8. Guarde los cambios y verifique que solo los usuarios autorizados conserven la capacidad de generar nuevos tokens.

Cumplimiento normativo

• Este control se alinea con las prácticas recomendadas de seguridad, pero no está asignado directamente a un marco de cumplimiento específico en los datos de origen.

Recursos relacionados

• No se especifica ninguno en los datos de origen.