Azure DevOps能否将用户添加至指定项目而不加入组织

结论先行：完全支持直接将用户添加到指定项目，无需提前将其加入组织级用户列表，刚好适配外部协作的最小权限管控场景。

• 直接添加项目级用户的操作路径：
  进入目标项目，点左下角的「项目设置」，找到「权限」分类下的「用户」选项，点「添加用户」，直接输入外部开发人员的邮箱就行——支持个人微软账户、企业/学校账户、GitHub账户，只要组织开了外部访问权限就能正常邀请。分配权限的时候只选当前项目对应的访问级别，别勾任何组织级的权限组。
• 系统默认的权限隔离逻辑：
  从项目入口直接添加的用户，不会被自动加到组织级默认用户组里，默认就碰不到组织设置、其他项目、全组织成员列表这类资源，只有你在当前项目里给他开的对应权限。
• 做最小权限加固可以补这几个配置：
  • 先去组织设置的「用户策略」板块，打开「允许外部来宾访问」开关，同时关掉「允许项目成员查看全组织成员信息」这类默认开放的可见性选项
  • 给外部用户配权限的时候，只选项目内置的「读者」「参与者」这类项目级权限组，别关联「项目集合用户」这种组织级组——这个组默认能看到组织下所有项目的名称，不符合最小权限要求
  • 加完人之后，可以在项目权限设置里，单独给这个外部用户设成拒绝「查看组织级分析数据」「查看跨项目信息」类的权限，彻底堵死他访问其他组织资源的路径
  • 确认目标项目可见性是「私有」，同时把项目成员可见性设成「仅项目内成员互见」，避免他搜到同组织下的其他项目或者人员

注意：如果你的Azure DevOps组织绑了Azure AD，不需要提前在Azure AD里加这个外部来宾，添加项目用户的时候系统会自动发邀请、完成身份校验，不用提前做AAD层面的配置。

内容的提问来源于stack exchange，提问作者MarcoM