Azure DevOpsとセキュリティ

Ad

Ad

Ad

Ad

Ad

Ad

Ad

Ad

Ad

Ad

Ad

Ad

かめがわかずし
@kkamegawa
Azure DevOpsと
セキュリティ

Self-intrduction
 KAMEGAWA Kazushi / Engineer
Microsoft MVP for Developer Technologies (2012/7～)
 Twitter : @kkamegawa
F...

This contents based on 2019/1/12

今日持ち帰ってもらうこと
Azure DevOpsのセキュリティ設定
アカウント
回線
チーム設計
権限
外部システム連携(REST APIなど)

今回触れないこと
パブリックプロジェクトでの設計
基本フルオープンなので

知りたいのはどちら？
Azure DevOps
Server
(オンプレミス)
Azure DevOps
Service
(クラウド)

Azure DevOps
Service
Azure DevOps Serviceの構成
MSアカウント
組織アカウント
Express
Route

Azure DevOps Serverの構成
Azure DevOps
Server
Web
Server
Database
Server
SQL
Database
Web
Server
Domain
Controller

最初に考慮する事項
Azure ADかMSアカウントか
法人はAzure ADで構築をお勧め(認証以外の機能差はない)
MSアカウントで作ってAADへの移行もできるが難しい
どのリージョンに置くか
日本リージョン未提供
近いのは東ア...

Microsoftアカウント Azure AD(Office 365)
アカウント管理
個人管理
多要素認証などのセキュリティ
は本人任せ
Azure ADと連携するサービ
ス連携が困難
(Teams, Flow等)
Azure ADへ...

組織外アカウントの招待の問題
他組織(パートナー、発注元)をAzure
DevOpsに招待したい
Azure B2Bで外部AADユーザーを招待
可能なので、できればそこから。
https://docs.microsoft.com/ja-jp...

Azure AD B2Bでの解決方法
Azure AD(無料版)を作って、
その組織にAzure DevOpsを
作る
みんなAzure AD B2Bで参加
ライセンスやセキュリティの問題
を解決できる
Azure DevOps
Serv...

Express Route(ER)でセキュアに？
 Azure と拠点を直結する回線のこと。
https://azure.microsoft.com/ja-jp/services/expressroute/
 IIJ, Softbank,...

ライセンスによるセキュリティ
Azure DevOps
Service
Azure DevOps
Server
ライセンスでできることが変わるので、
不要な人に権限を渡さない。
Stakeholder
BASIC
Visual Studio
S...

ライセンス詳細
ライセンス概要使えるサービス
BASIC • Azure DevOpsの以下の機能が
使えるユーザー。5人までは無料。
• ６人目以降は６ドル/月
Azure Boards
Azure Repos
Azure Pipelin...

Azure DevOpsアカウント管理
所有者は最初に作った人
人事異動、プロジェクト終了時
などにオーナーを変更可能
費用負担も変わるので、事前
に相談しておきましょう
Azure DevOps
Service
https://dev....

Azure ADのグループ参照
Azure DevOps
Service
Azureポータルで作ったAADグループを
Azure DevOpsで利用可能
ライセンス一括割り当てで使用できる
※:ただし、同期には時間がかかる(1h間隔)
http...

クライアントで多要素認証を強制したい
MSアカウントでは個人に依頼する
https://support.microsoft.com/ja-jp/help/4028586/microsoft-account-turning-
two-step-...

Azure DevOps Server での認証と暗号化
必ずActive Directory(ADDS)を使
用する
可能ならば暗号化する
ADCSの認証局でお安く
https://docs.microsoft.com/ja-jp/win...

アカウント設定で外部接続を制限する
接続ポリシー説明
Alternate authentication
credentials
以前、MSアカウントしかサポートしていなかった頃の名残。Windows
以外の環境でAzure DevOpsに接続...

Azure Active Directory or MS Account
Azure DevOps Serviceの構成
Azure AD内に複数の
Azure DevOpsを作成可
能
アカウント内に複数の
Team Projectを作成...

Active Directory
Azure DevOps Serverでの構成
 クラウドサービスにはない
Collectionという単位がある
 Collection内に複数のTeam
Projectが作成できる
 Collectio...

プロジェクトの設定
チームプロジェクトごとに
Public/Private(既定)を設定
可能
公開されたくない場合はアカウ
ント単位で不可設定にする
使用しない機能はOffに
例：レポジトリをGitHub使って
いればReposは不要
...

$Azure DevOpsのユーザー管理 Azure DevOps Service https://dev.azure.com/{account}/_settings/users • Azure DevOpsを作った管理者がアクセス可能なユー...$

Azure DevOps Serverのユーザー管理１
Azure DevOps
Server
• Azure DevOps Serverの場合、管理コンソールから有効なユーザーを追加も可能
• 通常Active Directoryのグループを...

Azure DevOps Serverのユーザー管理２
Azure DevOps
Server
• Azure DevOps Serverの場合、管理コンソールから有効なユーザーを追加も可能
• 通常Active Directoryのグループを...

Azure DevOps Server権限管理
Azure DevOps
Server
• Azure DevOps Serverのグループに対す
る権限を管理する。
• ほかのMicrosoft製品同様、拒否が最優先
で評価されるので、注意

Azure DevOps ServerのCollection
Azure DevOps
Server
SQL Server
Default
Collection
New
Collection
Team
Project
Team
Project
...

Collectionを分割する方針
バックアップポリシーが異なる場合
Azure DevOps ServerはデータはSQL Server
セキュリティポリシーが異なる場合
データベースに異なる照合順序を使いたい場合
Azure Dev...

チームプロジェクトの考え方
Team Project
Azure DevOps
Service
Azure DevOps
Server
Azure
Repo
Security
Group
Team
Team
Team Team
Security...

チームプロジェクトを分割する方針
リリースするプロダクト単位
外部接続(AzureをはじめとするWeb連携)
Service Hook
GitHub(Azure Boardsを連携)
SVN, GitHub, Docker Hubなど...

外部サービス接続
Azure DevOps
Service
Azure DevOps
Server
• チームプロ
ジェクト単位と
なるので、コラ
ボレーション
ツールへの連
携は慎重に

プロジェクト内の”Team”
作業を一緒に実施する人たち
の集まり。
TeamごとにIterationや
Areaを設定して、プロダクトの
スケジュールを調整する
Teamごとにセキュリティを設
定できるので、チームプロジェ
クトの管理者...

TeamのArea
Area(区分)で作業の種類
を設定する
自由に設計可能。Webや
バッチ、モジュール名など
大きなプロジェクトだと、
Areaがたくさんできる
チームが担当するAreaだけ
指定すると使いやすい
Azure Dev...

TeamのIteration
ScrumのSprint, Agileの
Iteration
長期間にわたるプロジェクトだと
Iterationが多くなり選択しづら
くなる
Teamで使用するIterationを選
択すると使いやすくなる
...

隣の人は何する人ぞ？
Azure DevOps
Service
Azure DevOps
Server
https://docs.microsoft.com/en-us/azure/devops/boards/plans/review-team...

Delivery Planの設計
Azure DevOps
Service
Azure DevOps
Server
参照するチーム
とプロジェクト
フィルタリング
条件

Teamの設計
Teamを作る
SecurityでTeamを登録
Git/TFVCのレポジトリにTeamを割り当てる
特定のレポジトリにアクセスされたくないTeamは
明示的にdeny設定
Azure DevOps
Service
Az...

チームプロジェクト内のGitアクセス
既定では高い権限のユーザー
のみアクセス可能
小規模チームであれば、全員
Project Administratorに
追加でも可
大規模環境はチーム単位で権
限設計が必要
Azure DevOps
...

チームに対して権限をつける
レポジトリ/一括で
Team, Groupを選択
して権限を設定
Deny：拒否(最上位)
Not Set:権限なし
Allow:許可
https://dev.azure.com/{account}/{Tea...

よくあるパターン
ビルド定義にレポジトリ
が出てこない
→レポジトリにアクセス権
をつけていない
Azure DevOps
Service
Azure DevOps
Server

ブランチのセキュリティ
ブランチ毎のポリ
シー迂回
強制push可否
更新権限
ロック解除
ポリシー編集
Azure DevOps
Service
Azure DevOps
Server

ブランチポリシー
Gitのブランチに対して条件
を設定して保護する。
最低レビュー人数
作業項目関連付け
Pull requestのコメントが解
決しているか
マージ戦略(squash/fast-
forwardしない)
Pull ...

Wikiの編集
特定のTeam, グルー
プに対して、権限をつ
ける
Wikiの中身はGitなの
で、Gitの権限と同じ設
定ができる
Azure DevOps
Service
Azure DevOps
Server

外部連携
Azure DevOpsプロ
ジェクト作成時の権限が必
要になる
Azure DevOps
Service

ビルド定義のセキュリティ
ビルド定義単位で権限を設定
管理者が定義を作って、実行及
び、編集はチームに渡す、と
いった運用も可能
パスワードはKeyVault,
Libraryに格納して保護する
Azure DevOps
Server
A...

リリース機能のセキュリティ
リリース定義ごとのセ
キュリティもビルドと
同じ考え。
承認者(approvers)
はチームに委譲という
ことも可能
Azure DevOps
Server
Azure DevOps
Service

$REST API 原則PATを使う 30日,60日,90日,独自 Fullか特定の機能を選択 期限切れ、作成時にはメール通知がある https://dev.azure.com/{account}_usersSetting s/toke...$

まとめ
Azure DevOpsのセキュリティは複雑
インフラ、アカウントの種類、Azure固有事情…etc
権限の基本はTeamを中心。
少人数で開始して、全員管理者で少しずつ慣れてい
く

参考
Azure DevOps Document
https://docs.microsoft.com/en-us/azure/devops/?view=vsts