ADO中为团队用户配置主分支细粒度权限的问题求助

这种方案是完全可行的，但你得先搞清楚ADO权限的核心逻辑，才能避免之前遇到的权限被覆盖的问题。

先解释你之前配置失败的原因 #

ADO的权限规则是拒绝权限优先级永远高于允许权限，而且用户只要同时属于多个权限组，只要其中一个组被设置了拒绝，就会直接覆盖所有的允许权限。你之前给全员团队设了主分支提交权限为拒绝，哪怕单独给项目负责人和架构师开了允许，他们本身也在全员团队里，所以拒绝权限会生效，导致允许设置被忽略。

正确的配置步骤（针对新项目仅加全员团队的场景） #

• 先保持主分支的权限继承开启（默认状态），不要直接给全员团队设置拒绝提交权限。
• 找到主分支的「Contribute（提交）」权限，将全员团队的该权限设置为未设置（如果默认是允许的话，直接移除允许权限即可）。这样全员默认就没有提交权限了。
• 单独添加项目负责人、架构师的用户（或者更推荐创建一个专属安全组，把这些人加进去），给这个用户/组设置「Contribute」权限为允许。

额外注意事项 #

• 尽量用安全组管理权限，不要单独加用户，后续人员变动时只需维护组内成员，不用反复调整分支权限。
• 配置完成后，用ADO权限页面右上角的「检查权限」工具，输入目标用户的账号，验证其主分支提交权限是否生效，提前排查问题。

内容的提问来源于stack exchange，提问作者David