Azure DevOps Services会话时长、配置及临时权限技术咨询

1. 会话持续时长为多久？ #

Azure DevOps Services的用户会话依赖Azure AD身份验证机制：

• 若登录时勾选保持登录状态，持久会话默认有效期为14天；
• 未勾选该选项时，临时会话默认有效期为1小时。
  需要注意的是，Azure DevOps会缓存用户权限配置，即便会话未超时，权限变更（如撤销）也不会立即生效，需用户重新登录才会触发权限缓存刷新。

2. 会话超时是否可配置？ #

可以配置，但需通过Azure AD的设置完成：

• 登录Azure门户，进入Azure AD的企业应用，找到Azure DevOps服务；
• 在会话控制选项中，可设置用户会话的最大时长、非活跃超时时间等规则；
• 也可在Azure AD全局用户设置中配置会话超时，不过该设置会影响所有依赖Azure AD的企业应用。

3. 是否有其他方式实现Azure DevOps Services的即时访问（Just In Time Access）？ #

有两种主流方案可实现即时权限管控：

• Azure AD Privileged Identity Management (PIM)：为Azure DevOps的高权限角色（如Project Collection Administrator）配置JIT访问策略，用户需提交权限申请，审批通过后获得临时权限，权限到期自动回收，且权限变更会即时同步至Azure DevOps，无需用户重新登录即可生效。
• 自定义自动化脚本：结合Azure DevOps REST API与Azure AD自动化工具，实现临时权限的授予/撤销逻辑，撤销时可调用API强制刷新用户权限缓存，不过该方案需要开发自定义逻辑支持。

针对你提到的测试场景（撤销权限后用户仍保有访问权直至重新登录），使用Azure AD PIM是满足“权限撤销后立即失效”预期的最优方案，它能绕过Azure DevOps的权限缓存限制，即时同步权限变更。

内容的提问来源于stack exchange，提问作者user23321888