使用安全组管理用户和组

2025-10-08

Azure DevOps Services |Azure DevOps Server |Azure DevOps Server 2022 |Azure DevOps Server 2020

本文介绍如何使用安全组管理权限和访问权限。你可以使用默认组或自定义组来设置权限。你可以将用户和组添加到多个组中。例如，可以将大多数开发人员添加到“参与者”组。当他们加入团队时，他们也会加入团队的组。

有关详细信息，请参阅下列文章：

用户从他们所属的组继承权限。如果某个权限对用户所属的一个组设置为“允许”，而对另一个组设置为“拒绝”，则他们的有效权限分配为“拒绝”。若要了解有关继承的详细信息，请参阅 “关于权限和安全组”。

Azure DevOps 如何使用安全组

Azure DevOps 使用安全组用于以下目的：

确定分配给组或用户的权限
确定分配给组或用户的访问级别
基于组内的成员身份筛选工作项查询
使用 @mention 项目级组向该组的成员发送电子邮件通知
向团队组的成员发送团队通知
为基于角色的权限添加组
为安全组设置对象级别权限

注意

安全组在组织级别进行管理，即使它们用于特定项目也是如此。根据用户权限，某些组可能在 Web 门户中隐藏。若要查看组织中的所有组名称，可以使用 Azure DevOps CLI 工具或 REST API。有关详细信息，请参阅添加和管理安全组。

注意

安全组在集合级别进行管理，即使它们用于特定项目也是如此。根据用户权限，某些组可能在 Web 门户中隐藏。若要查看集合中的所有组名称，可以使用 Azure DevOps CLI 工具或 REST API。有关详细信息，请参阅添加和管理安全组。

先决条件

类别	要求
权限	- 要在项目级别管理权限或群组，您需要是项目管理员安全组的成员。 - 若要在集合级别上管理权限或组，必须是项目集合管理员组的成员。组织所有者自动是此组的成员。

注意

被添加到项目范围的用户组的用户不能访问大多数组织设置页面，包括权限。有关详细信息，请参阅 “限制用户可见性”。

创建自定义安全组

如果要在项目或对象级别管理权限，请创建 项目级 组。如果要在 集合级别 管理权限，请创建集合级组。有关详细信息，请参阅更改项目级权限和在组织或集合级别更改权限。

创建项目级别组

打开 Azure DevOps Web 门户，选择要在其中添加用户或组的项目。要选择其他项目，请参阅切换项目、存储库、团队。
选择“项目设置”>“权限”。
选择“新建组”以打开添加组的对话框。

创建项目集合级组

打开 Web 门户并选择 Azure DevOps 图标，然后选择组织设置。
在“安全性”下，选择“权限”，然后选择“新建组”以打开添加组的对话框。

定义新组

在打开的对话框中，输入组的“名称”。（可选）添加成员和组的描述。

例如，我们在此定义“工作跟踪管理员”组。
完成后选择“创建”。

打开 Azure DevOps Web 门户，选择要在其中添加用户或组的项目。要选择其他项目，请参阅切换项目、存储库、团队。
选择项目设置>安全性。

要查看完整图像，请选择展开。
在 “组”下，选择以下选项之一：
- 读者：添加需要对项目具有只读访问权限的用户。
- 参与者：添加完全参与此项目或被授予利益干系人访问权限的用户。
- 项目管理员：添加需要管理项目的用户。有关详细信息，请参阅更改项目级权限。
选择“成员”选项卡。

在这里，我们选择 “参与者” 组。

默认团队组以及添加到项目的任何其他团队将作为 “参与者” 组的成员包含在内。改为将新用户添加为团队成员，用户会自动继承参与者权限。

提示

使用组（而不是单个用户）管理用户要容易得多。
选择“ 添加” 以添加用户或用户组。
在文本框中输入用户帐户的名称。可以在文本框中输入多个标识，用逗号分隔。系统会自动搜索匹配项。选择满足要求的匹配项。

首次将用户或组添加到 Azure DevOps 时，无法浏览到该用户或组或检查友好名称。添加标识后，你只需输入友好名称。
完成后选择“保存更改”。
(可选) 可以自定义用户对项目中其他功能的权限。例如，在区域和迭代或共享查询中。

注意

具有有限访问权限（如利益干系人）的用户无法访问选择功能，即使向这些功能授予了权限。有关详细信息，请参阅权限和访问权限。

向安全组添加用户或组

随着角色和职责的变化，你可能需要更改项目个别成员的权限级别。最简单的方法是将用户或一组用户添加到默认安全组或自定义安全组。如果角色发生变化，你可以从组中删除该用户。

以下步骤演示如何将用户添加到内置 项目管理员 组。无论你要添加到哪个组，方法都是类似的。如果你的组织连接到 Microsoft Entra ID 或 Active Directory，则可以将这些目录中定义的安全组添加到 Azure DevOps 安全组。有关详细信息，请参阅将 Active Directory/Microsoft Entra 用户或组添加到内置安全组。

如果需要向 Azure DevOps 安全组添加超过 10k 个用户或组，我们建议添加包含这些用户的 Azure 目录 / Microsoft Entra 组，而不是直接添加用户。

如前面的“创建自定义安全组”部分所述，打开项目级别或组织级别的“权限”页。
选择要管理其成员的安全组，然后选择“成员”选项卡，然后选择“添加”。

例如，我们在此选择“项目管理员”组、“成员”，然后选择“添加”。
在文本框中输入用户帐户的名称，然后从出现的匹配项中进行选择。可以在“添加用户和/或组”框中输入多个系统可识别的标识。系统会自动搜索匹配项。选择符合你的选择的匹配项。

注意

具有有限访问权限（如利益干系人）的用户无法访问选择功能，即使向这些功能授予了权限。有关详细信息，请参阅权限和访问权限。
选择“保存”。

如前面的“创建自定义安全组”部分所述，打开项目级别或组织级别的“权限”页。
选择要管理其成员的安全组，然后选择“成员”选项卡，然后选择“添加”。

例如，我们在此选择“项目管理员”组、“成员”，然后选择“添加”。
在文本框中输入用户帐户的名称。可以在文本框中输入多个标识，用逗号分隔。系统会自动搜索匹配项。选择符合您偏好的匹配项。

注意

具有有限访问权限（如利益干系人）的用户无法访问选择功能，即使向这些功能授予了权限。有关详细信息，请参阅权限和访问权限。
选择“保存更改”。选择刷新图标以查看添加的内容。