從管線保護 Azure Repos 的存取

SpaceGameWeb假設管線是 YAML 管線，而且其 YAML 原始碼看起來類似下列程式代碼。

trigger:
- main

pool:
  vmImage: ubuntu-latest

resources:
  repositories:
    - repository: SpaceGameWebReact
      name: SpaceGameWeb/SpaceGameWebReact
      type: git
    - repository: FabrikamFiber
      name: FabrikamFiber/FabrikamFiber
      type: git
    - repository: FabrikamChat
      name: FabrikamFiber/FabrikamChat
      type: git

steps:
  - script: echo "Building SpaceGameWeb"
  - checkout: SpaceGameWebReact
  - checkout: FabrikamChat
    condition: always()  
  - checkout: FabrikamFiber
    submodules: true
    condition: always()
  - script: |
      cd FabrikamFiber
      git -c http.extraheader="AUTHORIZATION: bearer $(System.AccessToken)" submodule update --recursive --remote
  - script: cat $(Build.Repository.LocalPath)/FabrikamFiber/FabrikamFiberLib/README.md
  - ...

保護 YAML 管線中存放庫的存取

Azure DevOps 為 Azure Repos 存放庫提供更細緻的許可權機制，其形式是 保護 YAML 管線中存放庫的 存取權。 此設定可讓 YAML 管線明確要求存取 所有 Azure Repos 存放庫的許可權，而不論其所屬的項目為何。 如需詳細資訊，請參閱 存取存放庫。 此設定不會影響簽出其他類型的存放庫，例如 GitHub 裝載的存放庫。

在我們的執行範例中，當開啟此設定時，SpaceGameWeb管線會要求許可權以存取SpaceGameWebReact專案中的fabrikam-tailspin/SpaceGameWeb存放庫，以及專案中的 FabrikamFiber fabrikam-tailspin/FabrikamFiber 和 FabrikamChat 存放庫。

當您執行範例管線時，它會建置類似下列範例。

授與管線存放庫或資源的許可權。

您的管線執行，但失敗，因為它無法將存放 FabrikamFiberLib 庫簽出為 的 FabrikamFiber子模組。 若要解決此問題，請在步驟之前-checkout: FabrikamFiber新增步驟，明確地查看 。FabrikamFiberLib- checkout: git://FabrikamFiber/FabrikamFiberLib

範例管線成功。

我們最後的 YAML 管線原始碼看起來像下列代碼段。

trigger:
- main

pool:
  vmImage: ubuntu-latest

resources:
  repositories:
    - repository: SpaceGameWebReact
      name: SpaceGameWeb/SpaceGameWebReact
      type: git
    - repository: FabrikamFiber
      name: FabrikamFiber/FabrikamFiber
      type: git
    - repository: FabrikamChat
      name: FabrikamFiber/FabrikamChat
      type: git

steps:
  - script: echo "Building SpaceGameWeb"
  - checkout: SpaceGameWebReact
  - checkout: FabrikamChat
    condition: always()  
  - checkout: git://FabrikamFiber/FabrikamFiberLib  
  - checkout: FabrikamFiber
    submodules: true
    condition: always()
  - script: |
      cd FabrikamFiber
      git -c http.extraheader="AUTHORIZATION: bearer $(System.AccessToken)" submodule update --recursive --remote
  - script: cat $(Build.Repository.LocalPath)/FabrikamFiber/FabrikamFiberLib/README.md

疑難排解

針對任何發生的問題，請使用下列解決方案。

您在命令列中使用 git 來簽出相同組織中的存放庫

例如，您使用 - script: git clone https://$(System.AccessToken)@dev.azure.com/fabrikam-tailspin/FabrikamFiber/_git/OtherRepo/。 開啟 YAML 管線設定中的 [保護存放庫存取權] 設定時，命令會失敗。

若要解決此問題，請使用 checkout 命令簽出存放OtherRepo庫，例如 - checkout: git://FabrikamFiber/OtherRepo。

存放庫使用另一個存放庫作為子模組

假設管線取出的其中一個存放庫會使用另一個存放庫（在相同的專案中）作為子模組，如同和存放庫的範例FabrikamFiberFabrikamFiberLib所示。 深入瞭解 如何查看子模組。

此外，假設您已提供SpaceGame此存放庫的組建身分識別讀取許可權，但簽出FabrikamFiberLib子模組時，FabrikamFiber存放庫的簽出仍然失敗。

若要解決此問題，請藉由在問題之前-checkout: FabrikamFiber新增- checkout: git://FabrikamFiber/FabrikamFiberLib步驟，明確地簽出 FabrikamFiberLib。

在傳統組建管線中，您無法明確地將其他存放庫宣告為資源。 使用命令新增命令行工作 git clone 來查看更多 Azure Repos 存放庫，類似於下列命令來簽出存放 FabrikamFiber 庫： git -c http.extraheader="AUTHORIZATION: bearer $(System.AccessToken)" clone --recurse-submodules https://dev.azure.com/silviuandrica/FabrikamFiber/_git/FabrikamFiber。

保護 YAML 管線中存放庫的 存取權設定

[ 保護 YAML 管線 中存放庫的存取權] 設定可讓 YAML 管線明確要求存取 所有 Azure Repos 存放庫的許可權，而不論其所屬的項目為何。 如需詳細資訊，請參閱 存取令牌、保護 YAML 管線中存放庫的存取權。

開啟 [保護 YAML 管線 中存放庫的存取權] 設定時，請小心。 如果您這樣做，傳統組建管線就無法存取任何其他 Azure DevOps 存放庫，但其 [設定] 中指定的存放庫除外。 在我們的範例管線中，您會收到錯誤和記錄訊息 TF401019: The Git repository with name or identifier FabrikamFiber does not exist or you do not have permissions for the operation you are attempting.

如果您的專案同時使用 YAML 和傳統建置管線，而您的傳統建置管線會查看其設定中所指定專案以外的更多 Azure DevOps 存放庫，請建立兩個專案，一個用於 YAML 管線，另一個用於傳統建置管線。 然後，在 YAML 管線專案中，啟用所需的設定。

[ 保護 YAML 管線 中存放庫存取] 設定不適用於裝載於其他服務上的存放庫，例如 GitHub。

[建置 作業授權範圍] 設定

[ 將作業授權範圍限制為非發行管線 的目前專案] 設定會覆寫 [ 建置作業授權範圍 ] 設定。 如果您開啟前者，即使建置作業授權範圍指定 Project 集合，管線仍會以專案為基礎的身分識別執行。