阻止项目管理员向 Azure DevOps 中的项目和组织添加新用户？

Question

我有一个与 AAD 租户相关联的 Azure DevOps 组织，看起来项目管理员（不是集合管理员）组中的用户可以通过项目将 AAD 中的新用户添加到该组织，该用户是之前不在组织中，绕过添加到组织中。

是否有任何方法（以编程方式或通过 UI）来防止这种行为？尽管审核日志捕获了这一点，但允许 Project Admins 组中的某个人将 AAD 中的任何人添加到项目中然后可以访问该组织也不是完全安全的。

Answer 1

来自document，它说要向项目添加用户，您必须是项目管理员或项目集合管理员组的成员。

根据设计，项目管理员拥有项目的最高权限，当然可以将用户添加到该项目。但是添加到这个项目的用户只能访问这个特定的项目。由于用户已添加到项目中，因此他也将成为组织的用户并列在用户列表中。但他的权限仅限于这个项目。

如果您不希望项目管理员中的用户从 AAD 添加新用户。您应该从 Project Administrators 组中删除此用户。