Proteja-se contra pacotes públicos maliciosos

Azure DevOps Services | Azure DevOps Server 2022 - Azure DevOps Server 2019

Com as fontes upstream dos Artefatos do Azure, os desenvolvedores ganham a conveniência de usar um feed unificado para publicar e consumir pacotes de feeds de Artefatos e registros públicos populares como NuGet.org ou npmjs.com. Anteriormente, os feeds de artefato combinavam uma lista de versões de pacotes disponíveis do próprio feed e de todas as fontes upstream configuradas.

A opção Permitir versões de origem externa é um recurso que permite que os desenvolvedores escolham se desejam consumir versões de pacotes de origem externa. Regula quais os pacotes acessíveis a partir dos registos públicos para pacotes específicos.

Quando você desabilita a opção Permitir versões externas, as versões do registro público são bloqueadas e ficam indisponíveis para download. Isso adiciona uma camada extra de segurança, evitando a exposição a pacotes potencialmente maliciosos de registros públicos.

No entanto, se os usuários preferirem, eles podem habilitar a alternância Permitir versões externas para permitir o acesso e consumir pacotes de registros públicos.

Cenários aplicáveis

A seção a seguir ilustra vários cenários comuns em que a configuração de versão externa bloqueia versões de pacotes de origem externa e outros cenários em que não há necessidade de bloquear o acesso a pacotes públicos.

As versões públicas estão bloqueadas

• Versão do pacote privado tornada pública
• Ter pacotes privados e públicos

Versão do pacote privado tornada pública

Nesse cenário, uma equipe tem um pacote privado que foi tornado público. A configuração de versões externas, nesse caso, fará com que o feed bloqueie o consumo de quaisquer novas versões com esse nome de pacote de uma fonte pública.

Ter pacotes privados e públicos

Nesse cenário, se uma equipe usa uma combinação de pacotes privados e públicos, não permitir pacotes de origem externa bloqueia quaisquer novas versões de pacotes do registro público.

As versões públicas não serão bloqueadas

• Todos os pacotes são privados
• Todos os pacotes são públicos
• Pacote público privado

Todos os pacotes são privados*

Se todos os pacotes existentes forem privados e a equipe não tiver planos de usar nenhum pacote público, a configuração de versões externas não terá efeito sobre o fluxo de trabalho da equipe nesse cenário.

Todos os pacotes são públicos

Nesse cenário, se a equipe consome exclusivamente pacotes públicos, seja do registro público ou de outros repositórios de código aberto, a configuração não afeta seu fluxo de trabalho de forma alguma.

Pacote público privado

Nessa situação, quando um pacote público é convertido em um pacote privado, a configuração de versões externas não afeta o fluxo de trabalho da equipe de forma alguma.

Permitir versões externas

1. Entre em sua organização do Azure DevOps e navegue até seu projeto.

2. Selecione Artefatos e, em seguida, selecione seu feed no menu suspenso.

3. Selecione seu pacote e, em seguida, selecione o botão de reticências para obter mais opções. Selecione Permitir versões de origem externa.

   

4. Selecione o botão de alternância para permitir versões externas. Selecione Fechar quando terminar.

   

Permitir versões externas usando a API REST

Permitir versões externas usando o PowerShell

1. Crie um token de acesso pessoal com Empacotamento>Ler, escrever, & gerenciar permissões.

   

2. Crie uma variável de ambiente para seu token de acesso pessoal.

   $env:PATVAR = "YOUR_PERSONAL_ACCESS_TOKEN"
   

3. Converta seu token de acesso pessoal para a cadeia de caracteres codificada baser64 e construa o cabeçalho da solicitação HTTP.

   $token = [Convert]::ToBase64String(([Text.Encoding]::ASCII.GetBytes("username:$env:PatVar")))
   $headers = @{
       Authorization = "Basic $token"
   }
   

4. Construa o URL do seu ponto final. Exemplo: //pkgs.dev.azure.com/MyOrg/MyProject/_apis/packaging/feeds/MyFeed/nuget/packages/pkg1.0.0.nupkg/upstreaming?api-version=6.1-preview.1

   • Feed com escopo do projeto:

     $url = "https://pkgs.dev.azure.com/<ORGANIZATION_NAME>/<PROJECT_NAME>/_apis/packaging/feeds/<FEED_NAME>/<PROTOCOL>/packages/<PACKAGE_NAME>/upstreaming?api-version=6.1-preview.1"
     

   • Feed com escopo da organização:

     $url = "https://pkgs.dev.azure.com/<ORGANIZATION_NAME>/_apis/packaging/feeds/<FEED_NAME>/<PROTOCOL>/packages/<PACKAGE_NAME>/upstreaming?api-version=6.1-preview.1"
     

Invoke-RestMethod -Uri $url -Headers $headers

$body = '{"versionsFromExternalUpstreams": "AllowExternalVersions"}'

Invoke-RestMethod -Uri $url -Headers $headers -Body $body -Method Patch -ContentType "application/json"

$body = '{"versionsFromExternalUpstreams": "Auto"}'

Invoke-RestMethod -Uri $url -Headers $headers -Body $body -Method Patch -ContentType "application/json"

Artigos relacionados

• Compreender as fontes a montante
• Gerencie dependências com fontes upstream
• Melhores práticas