TFS 2017部署到目标机器上。代理商在高权限账户下运行VS自定义环境变量存储用户密码

Question

据 安全建议 使用对目标机器有特权访问的服务账户应该避免，因为对手可以在代理上运行一个被破坏的发布定义，获得对这个目标机器的访问。

因此，我假设在部署时对目标机器具有高度特权访问的唯一（安全）替代方案（至少在TFS 2017中）是存储管理员用户并传递自定义环境变量，并将其提供给运行部署的taskcommand。(如果有其他可用的替代方案，请告诉我)

我知道为了保护存储在环境中的用户& 密码，访问它应该限制在那些应该为在目标机器上部署而创建发布定义的用户，这样的话，除了他们之外，没有人可以做到这一点。

如果你限制 "特权代理 "的访问权限（在代理队列部分），只允许那些应该为在目标机器上部署而创建发布定义的用户访问，那么除了他们之外，没有人可以做到这一点。

那么，使用第二个选项有什么风险？

问候。

Answer 1

你可以直接设置 释放权限 来限制谁可以创建发布或编辑发布管道，以保护部署。