Как обезопасить хранилище Azure DevOps

Question

Можно клонировать новый репозиторий, созданный в DevOps Azure, без запроса пароля или токена безопасности. Например, после создания репо можно клонировать репозиторий из командной строки, используя:
https://username@dev.azure.com/organization-name/project-name/_git/repo-name

Не было запроса на аутентификацию в командной строке рабочего стола перед клонированием хранилища. Меня беспокоит то, что любой может угадать строки URL и попытаться клонировать частные репозитории.

При выборе клонирования репозитория я создал пароль, а также создал токен личного доступа, но по-прежнему не запрашивал никакой безопасности в командной строке.

Как правильно защитить хранилище DevOps Azure?

Answer 1

Если ваш репозиторий был на самом деле приватный , но у вас не было запроса на ввод учетных данных, проверьте вывод:

git config credential.helper

В Windows, например, это будет ваш диспетчер учетных данных Windows .
В MacOS этот будет вашей цепочкой ключей OSX .

Если «dev.azure.com» хранится в одном из этих помощников учетных данных, тообъяснил бы отсутствие подсказок при клонировании частного репозитория.

Answer 2

Azure DevOps, как и большинство сайтов Git-хостинга, предоставляет как публичные, так и частные репозитории. Публичный репозиторий будет доступен любому, у кого есть URL; частный репозиторий потребует аутентификации.

Если вы не видите никаких запросов на аутентификацию, возможно, ваш репозиторий общедоступен. Если это так, и вы этого не хотите, вы можете просмотреть обзор хранилища в веб-интерфейсе, щелкнуть значок карандаша рядом с именем и установить видимость для частного.

Также возможно, что хранилище уже является частным, но у вас есть учетные данные, хранящиеся в вашем диспетчере учетных данных Git, которые позволяют вам иметь доступ к хранилищу и, следовательно, не запрашиваются. В командной строке Git Bash вы можете запустить GIT_TRACE=1 GIT_CURL_VERBOSE=1 git clone URL и посмотреть, включен ли заголовок Authorization. Если это так, вы, вероятно, также увидите вызов git credential fill, чтобы заполнить учетные данные из хранилища учетных данных. В этом случае не о чем беспокоиться, поскольку требуется аутентификация, но вы авторизованы.