Azure DevOps Server本地部署权限配置求助：工作项与代码库管控

一、工作项权限：仅分配用户/管理员可修改状态及内容 #

方案1：项目权限锁定+工作项级权限自动分配（推荐） #

1. 基础权限兜底设置
   • 进入项目设置 → 权限 → 找到「项目有效用户」组，将「编辑工作项」「修改工作项状态」权限设为拒绝。
   • 给「项目管理员」组单独设置上述权限为允许，确保管理员不受限制。
2. 自动化分配工作项专属权限
   Azure DevOps Server原生流程规则无直接添加权限的动作，需通过PowerShell脚本结合REST API实现自动化：
   • 配置Azure DevOps事件订阅，监听工作项「Assigned to」字段的变更事件。
   • 字段更新时触发脚本，调用API给被分配用户添加该特定工作项的「编辑工作项」和「修改状态」权限。
   • 核心代码片段示例：

     $workItemId = "1234"
     $userId = "user@domain.com"
     $projectName = "YourProject"
     $collectionUrl = "http://your-server:8080/tfs/DefaultCollection"
     
     $apiUrl = "$collectionUrl/$projectName/_apis/wit/workitems/$workItemId/permissions?api-version=7.0"
     $body = @{
         identity = @{ id = $userId }
         allow = @("EditWorkItem", "EditWorkItemState")
         deny = @()
     } | ConvertTo-Json
     
     Invoke-RestMethod -Uri $apiUrl -Method Post -Body $body -ContentType "application/json" -UseDefaultCredentials
     

方案2：状态转换权限+动态安全组（依赖AD/Azure AD同步） #

1. 在AD/Azure AD中创建动态安全组，设置规则为「用户被分配到Azure DevOps工作项」（需完成AD与DevOps的用户同步）。
2. 打开流程设计器 → 选择目标工作项类型 → 切换到「状态转换」标签。
3. 对每个需限制的状态转换，设置权限为仅允许「项目管理员」和上述动态组成员。

二、代码库权限：仅分配用户可提交/更新 #

方案1：分支策略+动态权限组联动 #

1. 分支策略强制合规提交
   • 进入代码库设置 → 分支策略 → 给目标分支添加「工作项关联」策略，要求所有提交必须关联至少一个工作项。
   • 补充「工作项查询」策略，设置查询条件为 Assigned to = @Me，确保提交用户是关联工作项的分配人。
2. 动态管理贡献者组
   • 创建代码库专属的「WorkItemAssignedContributors」组，仅给该组分配代码库的「Contribute」权限。
   • 通过脚本监听工作项分配事件，用户被分配工作项时加入该组，取消分配时移除。

方案2：服务挂钩+提交验证脚本 #

配置Azure DevOps服务挂钩，触发服务器端脚本验证提交用户是否为关联工作项的分配人，不符合则直接拒绝提交（需结合Git钩子实现）。

内容的提问来源于stack exchange，提问作者Marcos Garcia