如何限制Azure DevOps访客账号仅拥有Boards工作项操作权限？

我来帮你搞定这个权限隔离的问题——其实完全不用依赖默认的Contributor组，咱们可以通过自定义安全组+细粒度权限配置实现严格的Boards权限管控，具体步骤如下：

1. 在Azure DevOps项目内创建专属自定义安全组 #

先跳过AAD组，直接在目标DevOps项目里创建针对性的安全组：

• 打开目标DevOps项目，点击左下角的齿轮图标进入项目设置
• 选择权限 > 安全组 > 创建组
• 给组起个清晰的名字（比如Boards-Workitem-Only-Visitors），添加描述说明用途后完成创建

2. 配置该组的Boards核心操作权限 #

不用加入Contributor组，直接给自定义组分配仅能操作工作项的权限：

• 在安全组列表找到刚创建的组，进入其权限设置页面
• 切换到工作项标签页，将以下权限设为允许：
  • 查看工作项
  • 创建工作项
  • 编辑工作项
  • 删除工作项
  • 添加工作项注释（按需开启）
• 切换到Boards标签页，确保查看项目级别信息设为允许（否则用户连Boards界面都无法访问）
• 所有Boards管理类权限（比如修改区域路径、迭代路径）保持默认的拒绝或未设置

3. 彻底限制其他DevOps功能的访问权限 #

这一步是核心，把除Boards外的所有功能权限锁死：

• 在同一个组的权限页面，依次切换到以下标签页，将所有权限设为拒绝（拒绝权限优先级高于任何继承的允许权限）：
  • 存储库：所有权限（克隆、推送、查看等）
  • 流水线：所有权限（创建流水线、查看运行记录等）
  • 环境：所有权限（创建环境、管理环境资源等）
  • Artifacts：所有权限（查看、发布制品等）
  • 测试计划：若不需要测试相关权限，所有权限设为拒绝
• 额外检查项目级权限设置，确保该组未被分配任何默认角色（比如Contributor），仅保留自定义组的权限配置

4. 将AAD访客账号加入自定义组 #

• 回到安全组列表，找到Boards-Workitem-Only-Visitors组，点击添加成员
• 搜索并选择之前在AAD中创建的访客账号，确认添加

5. 验证权限效果 #

用访客账号登录Azure DevOps，测试以下场景：

• 能否正常进入Boards界面，完成创建、编辑、删除工作项的操作
• 尝试访问流水线、仓库、环境等模块，是否提示权限不足
• 尝试修改项目设置或执行管理类操作，是否被系统拦截

关键提醒 #

• 绝对不要将该组或用户加入默认的Contributor组，否则会继承过宽的权限，导致之前的限制失效
• 如果发现某些功能权限没覆盖到，可以进入对应模块（比如环境）的单独权限设置页面，再次给该组设置拒绝权限

内容的提问来源于stack exchange，提问作者Stimmler