Question

我们正在评估VSTS以供企业使用。安全团队面临的挑战之一是缺乏对PAT（个人访问令牌）使用的控制和治理据我了解，任何用户都可以创建一个或多个PAT，并且可以从外部网络使用此PAT来进行REST API调用（或与网络外的工具连接）到VSTS以访问信息。

有关此方案的大量问题以及您体验中的任何见解/解决方法均值得赞赏

您的组织如何处理此问题或解决了此问题？寻找从安全团队获得支持的选项。有没有人曾与这个问题陈述联系微软？我确信有很多企业客户，他们想知道他们是如何解决这个问题的。
有没有办法禁止为所有用户创建PAT？看不到任何选项，但任何解决方法都可以强制执行此操作。
有没有办法获取所有用户的所有PAT列表？在VSTS中看不到任何选项，但可能通过某种类型的脚本

由于

Answer 1

更新

现在有一个API列出了哪些PAT已经创建，以及管理员代表其用户撤销PAT的选项：

GET https://vssps.dev.azure.com/{organization}/_apis/tokenadmin/personalaccesstokens/{subjectDescriptor}?api-version=5.0-preview.1

响应：

{
  "value": [
    {
      "clientId": "00000000-0000-0000-0000-000000000000",
      "accessId": "00000000-0000-0000-0000-000000000000",
      "authorizationId": "952858d3-7084-4635-964e-3c2a57645185",
      "hostAuthorizationId": "00000000-0000-0000-0000-000000000000",
      "userId": "bb5bb6c8-ef0a-400f-8987-92b3674d2043",
      "validFrom": "2018-07-19T00:00:00",
      "validTo": "2018-07-19T00:00:00",
      "displayName": null,
      "scope": "app_token",
      "targetAccounts": null,
      "token": null,
      "alternateToken": null,
      "isValid": true,
      "isPublic": false,
      "publicData": null,
      "source": null
    },
    ....

此处有更多详情：

https://docs.microsoft.com/en-us/rest/api/azure/devops/tokenadmin/personal%20access%20tokens/list?view=azure-devops-rest-5.0

要撤销其他用户的令牌，请使用：

POST https://vssps.dev.azure.com/{organization}/_apis/tokenadmin/revocations?api-version=5.0-preview.1
[
  {
    "authorizationId": "532c7fe6-74f8-408b-8051-4abb73dca491"
  }
]

请参阅：