Azure DevOps团队成员添加规则及区域路径权限隔离咨询

问题1：创建团队时，哪些因素决定可添加的用户范围？ #

• 组织成员资格：能添加的用户必须是当前Azure DevOps组织的成员，包括内部域用户和已受邀加入组织的外部来宾用户（前提是组织允许添加来宾）。
• 项目访问许可：用户必须先获得目标项目的访问权限——要么被直接添加到项目的Contributors、Readers等安全组，要么通过组织级的安全组继承了项目访问权限。
• 创建者权限限制：团队创建者需要具备项目级的管理权限（比如Project Administrator角色），否则无法添加超出自身权限范围的用户。
• 外部用户政策：如果要添加外部合作方，得先确认组织的Azure AD设置允许添加来宾用户，且外部用户已完成组织的邀请验证流程。

问题2：单项目内能否创建仅查看自身区域路径工作项的团队？ #

完全可以，针对外部合作方的需求，可通过以下步骤实现：

1. 创建专属团队：给外部合作方单独创建一个团队，将该团队的默认区域路径设置为分配给他们的专属区域。
2. 配置区域路径权限：在项目的安全设置中，找到目标区域路径，给这个外部团队设置查看工作项的允许权限，同时对其他区域路径设置查看工作项的拒绝权限（注意不要给团队分配项目级的Readers角色，避免继承全局查看权限）。
3. 调整团队看板与查询：设置团队的看板默认只显示自身区域路径的工作项，同时创建专属查询并设为团队默认，确保用户打开看板或查询时只会看到自己的工作内容。
4. 验证权限效果：用外部用户账号登录测试，确认只能看到分配的区域路径下的工作项，无法访问其他团队的内容。

内容的提问来源于stack exchange，提问作者Zoe