如何限制Azure DevOps代码仓库仅公司设备访问且不影响工单查看？

核心思路：拆分不同功能的权限策略 #

Azure DevOps的代码仓库和工单（工作项）可以分开配置权限规则，不用一套策略管到底，结合Azure AD条件访问和DevOps自身设置就能解决你的冲突：

1. 给Git代码仓库加设备/IP锁 #

• 配置Azure AD条件访问时，别选整个Azure DevOps组织，专门指定Azure DevOps Server这个应用——它对应Git克隆、推送这类代码操作的后端服务。
• 给这个应用设置规则：仅允许加入公司域的设备或者指定的公司IP段访问。同时在Azure DevOps组织内，把仓库的读写权限只分配给使用公司设备的用户组。
• 注意：Git客户端（比如VS Code、Git Bash）都会走Azure AD身份验证，不符合条件的设备/IP在验证阶段就会被拦截，无法接触到代码仓库。

2. 让私人设备正常访问工单 #

• 单独创建一个条件访问策略，针对Azure DevOps Portal（网页端的工作项管理入口），允许所有设备访问，若担心安全可额外要求MFA验证。
• 在Azure DevOps组织里，将工单的读取权限开放给需要的开发者和测试人员，不限制他们的设备类型。

3. 额外加固：DevOps自带的IP限制 #

除了Azure AD的策略，还能在Azure DevOps的组织设置中配置IP允许列表：

• 把公司IP段加入列表，限制Git操作的来源；
• 通过工单访问的条件策略绕过这个IP限制，确保私人设备能正常打开工单页面。

关键细节提醒 #

• 策略优先级要设置正确：Git相关的策略优先级需高于工单策略，避免规则冲突。
• 先测试再上线：用私人设备尝试克隆代码，确认被拦截；同时测试工单访问，确保能正常打开。
• 用户分组管理：将用户分为「公司设备代码同步组」和「工单查看组」，分别分配对应权限，减少权限溢出风险。

内容的提问来源于stack exchange，提问作者nick4538