Разрешения по умолчанию возвращаются в очереди AzDevOps

Question

Локальный сервер AzDevOps Server 2019, версия Dev17.M153.5. Я ограничил права доступа по умолчанию к очередям агентов для каждого проекта в каждой отдельной коллекции - удалил набор по умолчанию (Release Admins / Build Admins / Project Admins), добавил несколько других строк (Server Admins).

Теперь, время от времени, периодически без какой-либо закономерности, которую я вижу, эти три разрешения продолжают автоматически возвращаться. В разных проектах, без каких-либо действий человека (всем людям, имеющим на это права, было сказано), эти три строки с ролью администратора снова появляются в ACL очереди агента по умолчанию.

Это известное поведение в AzDevOps? Есть ли способ отказаться?

EDIT: вот как это выглядит. Первые три строки не принадлежат.

ACL очереди по умолчанию

РЕДАКТИРОВАТЬ: согласно совету, я бы попытался отследить его, используя журнал активности. Я пошел и сделал фиктивное изменение безопасности очереди по умолчанию в другом месте. В журнале появилась запись с командой SecurityRoleAssignments.SetRoleAssignments. Затем я отфильтровал журнал активности в коллекции, в которой были отменены разрешения, и поискал ту же команду. Нет экземпляров. Журнал заканчивается около 14 июля, что, вероятно, предшествует событию.

Answer 1

Это должно быть вызвано разрешением на наследование. По умолчанию параметр «Наследование» включен, и к роли администратора «Все пулы агентов» добавляются следующие группы: «Администраторы сборки», «Администраторы выпуска», «Администраторы проекта».

Если мы отключим параметр «Наследование», мы может удалить группы разрешений по умолчанию (администраторы выпуска / администраторы сборки / администраторы проекта).

Если мы включим наследование, группа разрешений будет унаследована снова, и группы разрешений по умолчанию вернутся, пожалуйста, отметьте эту опцию и подтвердите, что наследование всегда отключено. Пожалуйста, подтвердите также со всеми людьми, у которых есть права на обновление этой опции.

Uodate1

Login {Azure DevOps Server URL} / _ oi / _diagnostics / activityLog , мы можем увидеть журнал активности и проверить, кто добавил группы разрешений, пожалуйста, проверьте его.

введите описание изображения здесь