Запретить администратору проекта добавлять нового пользователя в проект и организацию в Azure DevOps?

Question

У меня есть Azure DevOps org, привязанная к арендатору AAD, и похоже, что пользователь из группы «Администраторы проекта» (а не «Администратор коллекции») может добавить нового пользователя из AAD в организацию через проект, который не был в организации раньше, минуя добавление в организацию.

Есть ли способ, программно или через пользовательский интерфейс, предотвратить это поведение? Несмотря на то, что в журналах аудита это зафиксировано, не совсем безопасно разрешать кому-либо из группы «Администраторы проекта» добавлять в проект кого-либо из AAD, который затем сможет получить доступ к организации.

Answer 1

Из этого документа т. Сказано, что для добавления пользователей в проект вы должны быть членом группы «Администраторы проекта» или «Администраторы коллекции проектов».

Именно проект является проектом Администратор имеет самое высокое разрешение проекта и, конечно, может добавлять пользователей в этот проект. Но пользователь, добавленный в этот проект, может получить доступ только к этому указанному c проекту. Поскольку пользователь добавлен в проект, он также будет пользователем организации и будет включен в список пользователей. Но его разрешение ограничено только этим проектом.

Если вы не хотите, чтобы пользователь в Администраторах проекта добавил нового пользователя из AAD. Вы должны удалить этого пользователя из группы администраторов проекта.