能否在项目/组织中限制用户仅访问指定服务（如Artifacts）？

核心结论 #

完全可以实现单个项目或组织全局范围内，让指定用户组仅访问某一项服务（如Artifacts）并限制其他服务（Boards、Pipelines等）的权限。

单个项目权限配置步骤 #

针对你的场景，调整现有操作并补充以下配置：

1. 修正项目级基础权限：
   进入项目设置 > 权限 > 找到目标用户组，不要直接拒绝所有权限，而是将项目级基础权限设置为仅允许「查看项目信息」，其余项目级权限（如编辑项目信息、管理权限等）全部设为拒绝或不勾选。
2. 授予Artifacts访问权限：
   在项目的Artifacts设置 > 权限中，给该组添加对应角色（如「读者」或按需设置更高权限），确保允许其访问Artifacts资源。
3. 限制其他服务访问：
   • Boards：进入项目设置 > Boards > 权限，找到目标组，拒绝「查看工作项」「创建工作项」等所有相关权限
   • Pipelines：进入项目设置 > Pipelines > 权限，拒绝「查看管道」「编辑管道」等权限
   • 其他服务（如Repos、Test Plans等）同理，在对应服务的权限设置中明确拒绝该组的访问权限

组织全局权限配置步骤 #

如果要在整个组织范围内统一应用该规则：

1. 调整组织级基础权限：
   进入组织设置 > 安全 > 权限 > 目标用户组，将组织级基础权限设置为仅允许「查看组织信息」，避免过度拒绝导致后续权限无法生效。
2. 通过组规则批量应用到项目：
   在组织设置 > Group rules中，将该组添加到目标项目（或所有项目），设置项目加入时的默认权限为限制访问（即仅能查看项目基本信息）。
3. 全局授予Artifacts权限：
   进入组织设置 > Artifacts > 权限，给该组添加组织级的Artifacts角色（如「读者」），所有项目的Artifacts会自动继承这个允许权限。
4. 全局限制其他服务权限：
   • 在组织设置 > Boards > 权限中，拒绝目标组的所有Boards相关权限
   • 在组织设置 > Pipelines > 权限中，拒绝目标组的所有Pipelines相关权限
   • 其他服务按同样逻辑在组织级权限中设置拒绝规则

关键注意事项 #

拒绝权限的优先级高于允许权限，所以不要直接给用户组设置全局拒绝所有权限，否则即使在单个服务中添加允许权限也会被覆盖。正确逻辑是：先设置最低限度的基础允许权限，再针对不需要的服务设置拒绝，需要的服务设置允许。

内容的提问来源于stack exchange，提问作者user28260101