Persönliche Zugriffstokens mit Azure Repos verwenden

In diesem Beitrag geht es um Best Practice Nr. 5 – die Verwendung persönlicher Zugriffstokens – aus unserer Reihe mit 8 Security-Best-Practices für Azure Repos.

Persönliche Zugriffstokens mit Azure Repos verwenden

Die Zwei-Faktor-Authentifizierung (2FA) bietet zusätzlichen Schutz für Ihr Konto. Dafür benötigen Sie nicht nur einen Benutzernamen und ein Passwort, sondern auch einen einmaligen Code aus einer Authenticator-App oder per SMS. So kann sich ein Angreifer selbst dann nicht ohne Ihr Mobiltelefon bei Ihrem Konto anmelden, wenn Ihr Passwort kompromittiert wurde.

Git unterstützt jedoch nur Benutzername und Passwort und kennt keine Zwei-Faktor-Authentifizierung. Stattdessen können Sie ein persönliches Zugriffstoken (PAT) für Git und Git-Tools konfigurieren.

Damit Sie einfacher mit 2FA und persönlichen Zugriffstokens arbeiten können, installieren Sie den Git Credential Manager für macOS und Linux oder Windows. Mit dem Git Credential Manager können Sie sich direkt bei Ihrem Git-Hosting-Anbieter authentifizieren. Außerdem erstellt und speichert er Ihr PAT sicher, sodass Sie sich darum nicht selbst kümmern müssen.

Sie können in den Sicherheitseinstellungen Ihres Kontos ein persönliches Zugriffstoken erstellen. Dabei legen Sie auch fest, wann das Token automatisch abläuft. Als Administrator können Sie PATs von Nutzern widerrufen, die das Team möglicherweise verlassen. Sobald Ihr PAT konfiguriert ist, können Sie den Git Credential Manager für macOS und Linux oder für Windows verwenden. Für zusätzliche Sicherheit können Sie Ihr PAT im Git Credential Manager speichern. Weitere Informationen finden Sie in der Dokumentation.

Lesen Sie weiter: die 8 Azure-Repos-Security-Best-Practices:

1. Speichern Sie niemals Zugangsdaten als Code oder Konfiguration in Azure Repos

2. Entfernen Sie sensible Daten aus Ihren Dateien und dem Azure-Repos-Verlauf

3. Kontrollieren Sie den Zugriff streng

4. Fügen Sie eine SECURITY.md-Datei hinzu

5. Verwenden Sie persönliche Zugriffstokens

6. Weisen Sie Nutzern detaillierte Berechtigungen und Gruppen zu

7. Ergänzen Sie Pull Requests um Security-Tests

8. Rotieren Sie SSH-Schlüssel und persönliche Zugriffstokens

Falls Sie es noch nicht getan haben, laden Sie jetzt diesen Spickzettel herunter und hängen Sie ihn gut sichtbar auf – damit Sie auch künftig sichere Entscheidungen treffen.