Utiliser des jetons d’accès personnels avec Azure Repos

Cet article présente la bonne pratique n° 5 — utiliser des jetons d’accès personnels — de notre série de 8 bonnes pratiques de sécurité pour Azure Repos.

Utiliser des jetons d’accès personnels avec Azure Repos

L’authentification à deux facteurs (2FA) ajoute un niveau de sécurité supplémentaire à votre compte en exigeant non seulement un nom d’utilisateur et un mot de passe, mais aussi un code unique fourni par une application d’authentification ou envoyé par SMS. Ainsi, même si votre mot de passe est compromis, un pirate ne peut pas se connecter à votre compte sans avoir également accès à votre téléphone portable.

Cependant, Git ne prend en charge que les noms d’utilisateur et les mots de passe et ne tient pas compte de l’authentification à deux facteurs. Vous pouvez utiliser à la place un jeton d’accès personnel (PAT) avec Git et les outils Git.

Pour faciliter l’utilisation de la 2FA et des jetons d’accès personnels, vous pouvez installer le Git Credential Manager pour macOS, Linux ou Windows. Il vous permet de vous authentifier directement auprès de votre fournisseur d’hébergement Git et gère la génération et le stockage sécurisé de votre PAT, sans que vous ayez à vous en soucier.

Vous pouvez créer votre propre jeton d’accès personnel dans les paramètres de sécurité de votre compte. Vous pouvez notamment définir une date d’expiration automatique pour le jeton. Notez qu’en tant qu’administrateur, vous pouvez révoquer les PAT des utilisateurs qui quittent l’équipe. Une fois votre PAT configuré, pensez à utiliser le Git Credential Manager pour macOS et Linux ou Windows. Vous pouvez stocker votre PAT dans le Git Credential Manager pour renforcer la sécurité. Pour en savoir plus, consultez la documentation.

Poursuivez la lecture de la liste des 8 bonnes pratiques de sécurité pour Azure Repos :

1. Ne stockez jamais d’identifiants dans le code ou la configuration d’Azure Repos

2. Supprimez les données sensibles de vos fichiers et de l’historique d’Azure Repos

3. Contrôlez strictement les accès

4. Ajoutez un fichier SECURITY.md

5. Utilisez des jetons d’accès personnels

6. Attribuez aux utilisateurs des autorisations et des groupes précis

7. Ajoutez des tests de sécurité aux demandes de fusion

8. Renouvelez les clés SSH et les jetons d’accès personnels

Si ce n’est pas déjà fait, téléchargez cette fiche pratique dès maintenant et affichez-la pour prendre des décisions sûres à l’avenir.