azure-devops - 阻止项目管理员向 Azure DevOps 中的项目和组织添加新用户？

我有一个与 AAD 租户相关联的 Azure DevOps 组织，看起来项目管理员（而不是集合管理员）组中的用户可以通过项目将 AAD 中的新用户添加到组织中，而该用户不在org 之前，绕过添加到 org.

有没有办法以编程方式或通过 UI 来防止这种行为？尽管审核日志捕获了这一点，但允许 Project Admins 组中的某个人将 AAD 中的任何人添加到随后可以访问该组织的项目中也不是完全安全的。

标签： azure-devops

从该文档中可以看出，要将用户添加到项目中，您必须是项目管理员或项目集合管理员组的成员。

根据设计，项目管理员拥有项目的最高权限，当然可以将用户添加到该项目。但是添加到这个项目的用户只能访问这个特定的项目。由于用户已添加到项目中，因此他也将成为组织的用户并列在用户列表中。但他的许可仅限于这个项目。

如果您不希望项目管理员中的用户从 AAD 添加新用户。您应该从 Project Administrators 组中删除该用户。