Verificação de segurança expandida e suporte à transição de estado para solicitações pull do GitHub

Estamos a expandir o suporte no GitHub Advanced Security para incluir resultados com localizações URI, fornecendo uma cobertura mais ampla de ferramentas de análise dinâmica e de contentores.

Também melhoramos a forma como as solicitações pull do GitHub se conectam aos itens de trabalho do Azure Boards, tornando mais fácil manter os estados dos itens de trabalho atualizados quando as solicitações pull são mescladas.

Consulte as notas de versão para obter detalhes.

Geral

• Gerencie escopos de alto privilégio, decoradores de pipeline e extensões não publicadas
• Segredos Compartilhados para Apps OAuth

Segurança Avançada do GitHub para Azure DevOps

• Segurança Avançada agora aceita resultados com locais de URI

Azure Boards:

• Integração com o GitHub: Suporte à Transição de Estado

Geral

Gere âmbitos de alto privilégio, decoradores de pipeline e extensões não publicadas

As extensões do Azure DevOps melhoram a funcionalidade do produto e os fluxos de trabalho, mas aqueles com escopos de alto privilégio podem representar vários riscos.

Adicionamos um novo recurso que sinaliza esses escopos na página de administração de cada organização e na página de instalação do Visual Studio Marketplace, ajudando os administradores a tomar decisões informadas. Extensões não publicadas e decoradores de pipeline também são sinalizados para que o administrador esteja ciente e tome medidas adequadas.

Para obter mais informações, visite a página de documentação .

Segredos sobrepostos para aplicativos OAuth

O Azure DevOps introduziu Segredos Sobrepostos para aplicativos OAuth — um novo recurso disponível na interface do usuário e na API projetado para simplificar a rotação de segredos e reduzir o tempo de inatividade.

Com segredos sobrepostos, os desenvolvedores podem gerar um novo segredo enquanto o antigo permanece válido, garantindo acesso ininterrupto durante as rotações secretas. Com esta atualização, também reduzimos o período de validade secreto padrão para 60 dias. À medida que os aplicativos OAuth do Azure DevOps se aproximam da descontinuação em 2026, esta atualização fornece uma melhoria de segurança crítica para as equipes que ainda dependem deles. Experimente hoje mesmo para simplificar a sua gestão secreta e melhorar a resiliência. Saiba mais em nossa postagem no blog.

Segurança Avançada do GitHub para Azure DevOps

Segurança Avançada agora aceita resultados com locais de URI

Anteriormente, a Segurança Avançada rejeitou arquivos SARIF que continham resultados com URIs listados como o local do alerta. Isso normalmente afetava as ferramentas de varredura de contêineres e as ferramentas de verificação dinâmica de aplicativos. A Segurança Avançada agora pode aceitar condicionalmente e exibir descobertas dessas ferramentas.

Para habilitar este recurso, defina a variável de pipeline advancedsecurity.publish.allowmissingpartialfingerprints.

trigger: none

variables:
  advancedsecurity.publish.allowmissingpartialfingerprints: true


jobs:
  - job: "AdvancedSecurityPublish"
    displayName: "🛡 Publish ZAP SARIF"
    steps:
      - task: AdvancedSecurity-Publish@1
        displayName: Publish to ZAP SARIF to Advanced Security
        inputs:
          SarifsInputDirectory: $(Build.SourcesDirectory)/sarifs/

Azure Boards

Integração com o GitHub: Suporte à Transição de Estado

Expandimos nosso suporte para vincular solicitações pull do GitHub a itens de trabalho do Azure Boards! Anteriormente, apenas a Fixes AB#{ID} palavra-chave era suportada. Com essa atualização, agora você pode usar {State or Category} AB#{ID} para fazer a transição automática de itens de trabalho para o estado desejado na mesclagem.

Se a descrição da solicitação pull do GitHub incluir um nome de estado (por exemplo, Validate AB#1234), o estado do item de trabalho vinculado será atualizado como resultado. Se o nome do estado não for reconhecido, verificaremos se ele corresponde a uma categoria de estado (como Resolved). Se isso acontecer, o item de trabalho será transferido para o primeiro estado disponível dentro dessa categoria.

Se nenhum estado ou categoria correspondente for encontrado, a palavra-chave será ignorada e o estado no item de trabalho não será atualizado.

Finalmente, a Fixes AB#{ID} palavra-chave continua a funcionar conforme o esperado, usando como padrão o valor de estado "Fechado".

Próximos passos

Vá até o Azure DevOps e dê uma olhada.

Como fornecer feedback

Gostaríamos muito de ouvir o que você pensa sobre esses recursos. Use o menu Ajuda para relatar um problema ou fornecer uma sugestão.

Você também pode obter conselhos e suas perguntas respondidas pela comunidade no Stack Overflow.

Obrigado;

Dan Hellem