Azure DevOps项目@提及用户/组范围限制技术咨询

核心原理 #

@提及的搜索范围由用户拥有的查看用户和组权限决定：

• 若用户拥有组织级的该权限，可搜索整个组织用户
• 若仅拥有项目级的该权限，仅能搜索当前项目内的用户

具体配置步骤 #

1. 启用项目用户可见性限制

   • 进入目标项目的「项目设置」>「权限」
   • 勾选“Limit user visibility for this project to users in this project and its parent project groups”（部分版本显示为“限制此项目的用户可见性为此项目及其父项目组中的用户”）
   • 保存设置

2. 移除组织级全局权限

   • 进入组织设置>「权限」>「组」
   • 找到「Project Collection Valid Users」组，将不需要访问全组织用户的项目用户从该组中移除
   • 注意：该组默认包含所有组织成员，需手动调整为仅保留需要全组织访问的用户

3. 设置项目级专属权限组

   • 创建项目专属的Azure AD组（或DevOps本地组），将该项目的所有用户加入此组
   • 在项目权限中，为该组分配「Contributor」权限，确保成员能编辑工作项
   • 同时确认该组在项目权限中拥有「查看用户和组」权限（默认Contributor组已包含此权限）

4. 验证权限配置

   • 使用项目用户账号登录，打开工作项的描述/讨论框，尝试@提及用户
   • 此时搜索结果应仅显示当前项目组内的用户，不再出现其他组织用户

额外注意事项 #

• 若用户同时属于多个项目组，需确保其他项目也启用了用户可见性限制，避免跨项目用户泄露
• 组织级管理员需保留「Project Collection Valid Users」组的访问权限，以管理全组织资源

内容的提问来源于stack exchange，提问作者Neil Perry