Огромный риск безопасности с использованием системы построения TFS

Question

выясняется, что система сборки tfs всегда использует одну и ту же учетную запись Build для получения последнего исходного кода и выполнения задания сборки. И эта учетная запись имеет самое высокое разрешение на доступ ко всему исходному коду.

Таким образом, любой, у кого есть только одно разрешение на сборку проекта, может получить исходный код всех командных проектов, создав определение сборки и задав «Source Setting» для root TeamProjectCollection, а затем в сообщении MSBuild post, XCopy ', чтобы переместить исходный код на любой удаленный сервер.

Answer 1

Сервер сборки связан с базовым проектом команды. Решение нескольких проектов использовать один и тот же сервер сборки - это решение реализации, которое не является неотъемлемым недостатком безопасности, если важна сегрегация безопасности, важно использовать несколько серверов сборки с разными учетными записями. Подробную информацию о настройке Team Team см. В http://msdn.microsoft.com/en-us/library/ms253062(v=vs.90).aspx

Answer 2

Это по дизайну. И это плохо :(

Из документов в Microsoft, они говорят вам, что разработчик рассматривается в качестве доверенного лица Это их обоснование:..

Installing Team Foundation Build Service increases the attack surface of the computer. Because developers are treated as trusted entities in the build system, a malicious user could, for example, construct a build definition to run arbitrary code that is designed to take control of the server and steal data from Team Foundation Server. Customers are encouraged to follow security best practices as well as deploy defense in-depth measures to ensure that their build environment is secure. This includes developer workstations. For more information regarding security best practices, see the TechNet Article Security Guidance. 

Вот original article

Так при использовании сервера сборки вы всегда подвергаетесь риску! Как я упоминал в комментарии. Я написал много плагинов на стороне сервера и т. д., чтобы защитить среду tfs крупной компании. tfs build environment.

Answer 3

Решение состоит в том, чтобы отменить привилегию создавать и редактировать определения сборки, чтобы у вас был строгий контроль над строкой, в которой выполняется.