(Organization) Restrict Personal Access Token creation.

Miksi tämä on tärkeää

Henkilökohtaiset käyttöoikeustunnukset (PAT) tarjoavat tehokkaan todentamismenetelmän Azure DevOps -ympäristössä, joka ohittaa normaalit interaktiiviset kirjautumisprosessit. Kun kuka tahansa organisaation jäsen voi luoda PAT-tunnuksia ilman rajoituksia, riski tunnusten vuotamisesta, sivuttaisliikkeestä ja luvattomasta pääsystä CI/CD-putkiin kasvaa merkittävästi. PAT-tunnusten luomisen rajoittaminen vain niille, jotka sitä ehdottomasti tarvitsevat, on keskeinen tietoturvakontrolli kehitysinfrastruktuurin suojaamiseksi.

Mitä Aether365 tarkistaa

Aether365 varmistaa, että Azure DevOps -organisaatiollasi on käytössä käytännöt, jotka rajoittavat henkilökohtaisten käyttöoikeustunnusten luomista. Tämä tarkistus näkyy Aether365-hallintapaneelissa microsoft-365-tietoturvakategorian alla.

Korjausohjeet

PAT-tunnusten luomisen rajoittaminen Azure DevOps -organisaatiossa:

1. Kirjaudu Azure DevOps -organisaatioosi Project Collection Administrator -roolissa.
2. Siirry kohtaan Organization Settings (hammasrataskuvake vasemmassa alakulmassa).
3. Valitse Security-osion alta Policies.
4. Etsi asetus nimeltä "Allow public projects" ja varmista, että se on asetettu tilaan Off, jos et tarvitse julkisia projekteja.
5. Tarkempaa hallintaa varten siirry kohtaan Organization Settings, sitten Security ja sitten Permissions.
6. Etsi "Create Personal Access Tokens" -käyttöoikeus tietoturvakäyttöoikeuksien luettelosta.
7. Aseta tämä käyttöoikeus tilaan "Deny" niille ryhmille tai käyttäjille, joilla ei tulisi olla oikeutta luoda PAT-tunnuksia. Niille ryhmille, jotka tarvitsevat PAT-tunnusten luomista, jätä asetukseksi "Allow" tai "Not set."
8. Tallenna muutokset ja varmista, että vain valtuutetuilla käyttäjillä on edelleen oikeus luoda uusia tunnuksia.

Vaatimustenmukaisuus

• Tämä kontrolli on linjassa tietoturvan parhaiden käytäntöjen kanssa, mutta sitä ei ole suoraan kartoitettu mihinkään tiettyyn vaatimustenmukaisuuskehykseen lähdedatassa.

Liittyvät resurssit

• Lähdedatassa ei ole määritelty.