07 · Identidade e acesso
Ninguém recebe permissão como indivíduo e nenhum pipeline guarda segredo de longa duração.
Modelo de grupos (todos vindos do Entra ID)
| Grupo | Escopo | Quem |
|---|---|---|
| Org Administrators | Organização | 2 a 3 pessoas da plataforma, com PIM |
| Platform Engineers | Projeto platform + pools e templates | Time de plataforma |
| Project Administrators | Um projeto de domínio | 1 a 2 líderes técnicos do domínio |
| Contributors | Area Path / repos do time | Desenvolvedores do time |
| Release Approvers | Environment prd do domínio | Responsáveis pela mudança |
| Readers | Projeto | Auditoria, gestão, áreas parceiras |
Identidades de pipeline
- Service connections com Workload Identity Federation: sem client secret para rotacionar ou vazar.
- Uma service connection por projeto e por ambiente, protegida pelos mesmos checks do Environment.
- Segredos de aplicação no Key Vault, consumidos via variable groups vinculados.
Políticas de organização
- Projetos públicos desabilitados; acesso OAuth de aplicações de terceiros desabilitado.
- Criação de PAT restrita, sem full scope e com validade máxima curta.
- Conditional Access do Entra aplicado ao Azure DevOps.
- Audit log enviado continuamente (audit streaming) para Log Analytics ou SIEM.
- Revisão de acessos trimestral, automatizada a partir dos grupos.
Indicadores: D6 · Identidade e acesso