如何限制Azure DevOps用户查看项目设置，仅开放仓库和流水线权限

你遇到的不是安全漏洞，是Azure DevOps默认分层权限的配置问题，无需关闭「查看项目级信息」权限，只需显式拒绝该用户/组的项目设置相关访问权限即可实现需求，具体操作如下：

• 第一步：基础准入配置
  将外部承包商对应的用户或用户组加入目标项目，授予允许「查看项目级信息」权限，这是访问项目内任何资源的必要前提，不可跳过。
• 第二步：限制项目级敏感信息访问
  进入项目设置→权限页面，定位到目标用户/用户组，切换到「权限」配置标签，将以下权限全部设置为拒绝：
  • 查看项目级治理信息
  • 编辑项目级信息
  • 管理组成员资格
  • 查看用户级别信息
  • 管理权限
    以上权限配置为拒绝后，该用户/组将无法进入项目设置页，也无法查看项目内的用户列表、用户组成员信息等敏感内容。
• 第三步：分配工作所需的最小权限
  分别到对应资源的权限配置页单独授予所需权限，避免授予过高的全局权限：
  • 代码仓库权限：进入项目设置→存储库，选中需要授权的代码仓库，给目标用户/组分配对应权限（例：贡献、创建拉取请求、查看等，按需勾选）
  • 流水线权限：进入项目设置→管道，选中需要授权的流水线，给目标用户/组分配对应权限（例：运行生成、查看生成、编辑管道等，按需勾选）
• 验证配置效果
  可使用Azure DevOps的用户模拟功能，或使用测试账号登录验证权限：确认仅能访问授权的代码仓库和流水线，无法进入项目设置页面，无法查看项目内其他用户、组成员信息等非授权内容。

补充说明：Azure DevOps和GitHub的权限模型设计逻辑不同，Azure DevOps默认的「查看项目级信息」仅为基础准入标记，所有细分权限支持单独调整，可实现最小权限原则的配置要求。

内容的提问来源于stack exchange，提问作者opticyclic