Uso de tokens de acceso personal

Servicios de Azure DevOps | Azure DevOps Server | Azure DevOps Server 2022

Un token de acceso personal (PAT) es una contraseña alternativa para la autenticación Azure DevOps. Un PAT le identifica y determina los recursos y las operaciones disponibles. Trate un PAT con el mismo cuidado que una contraseña.

Si una herramienta no admite la autenticación de Microsoft Entra, use un PAT de ámbito de organización con los ámbitos mínimos y la duración más breve posible.

Requisitos previos

• Acceso a una organización de Azure DevOps o a una colección de Azure DevOps Server.
• Permisos necesarios para los recursos y operaciones a los que accede el PAT. Un PAT no puede conceder más permisos de los que tiene su propietario.

Creación de un PAT

En el caso de las organizaciones respaldadas por Microsoft Entra ID, inicie sesión con un nuevo PAT en un plazo de 90 días o se vuelva inactivo. Para obtener más información, consulte Frecuencia de inicio de sesión de usuario para Acceso condicional.

Notificaciones

Azure DevOps envía una notificación al crear un PAT y otra notificación antes de que expire.

Notificación inesperada

Una notificación inesperada podría significar que un administrador o una herramienta han creado un PAT para ti. Entre los nombres de token comunes se incluyen:

• git: https://dev.azure.com/{organization} on {machine}, creado cuando Git se conecta a un repositorio de Azure Repos.
• Service Hooks: Azure App Service: Deploy web app, creado cuando se configura una implementación de Azure App Service.
• Microsoft Teams Integration, creado cuando se configura una integración de Microsoft Teams.

Si no reconoce una PAT, revoquela y cambie la contraseña. Para una cuenta de Microsoft Entra, pídale a su administrador que revise la actividad de inicio de sesión no reconocida.

Usar una PAT

Use un PAT para solicitudes de un solo uso, prototipos locales o herramientas que no admitan la autenticación Microsoft Entra. No use PAT como credenciales a largo plazo para aplicaciones o servicios de producción.

Azure DevOps admite un PAT mediante un encabezado HTTP de autenticación básica. El nombre de usuario puede estar vacío. Codifique base64 la cadena :{PAT}y use el valor resultante en este encabezado:

Authorization: Basic BASE64_ENCODED_PAT

En los ejemplos siguientes se espera que la AZURE_DEVOPS_PAT variable de entorno se rellene desde un origen secreto seguro.

$patBytes = [Text.Encoding]::ASCII.GetBytes(":$env:AZURE_DEVOPS_PAT")
$headers = @{ Authorization = "Basic $([Convert]::ToBase64String($patBytes))" }

Invoke-RestMethod `
  -Uri "https://dev.azure.com/{organization}/{project}/_apis/build/builds?api-version=7.1" `
  -Headers $headers

curl --user ":${AZURE_DEVOPS_PAT}" \
  "https://dev.azure.com/{organization}/{project}/_apis/build/builds?api-version=7.1"

Una vez que el prototipo funcione, migrélo a Microsoft Entra OAuth para acceso delegado de usuarios o a una entidad de servicio o identidad administrada para acceso de aplicaciones.

Modificación de un PAT

Puede cambiar el nombre, la expiración o los ámbitos de un PAT. La regeneración de un PAT crea un nuevo valor de token y invalida el valor anterior. No se puede modificar ni volver a generar un PAT expirado o revocado; cree uno nuevo en su lugar.

1. En la página principal, abra la configuración de usuario y seleccione Tokens de acceso personal.

2. Seleccione el PAT y, a continuación, seleccione Editar.

   

3. Cambie el nombre del token, la expiración o los ámbitos y, a continuación, seleccione Guardar.

   

Revocar un PAT

Revoque un PAT cuando esté en peligro, ya no sea necesario o tenga más acceso de lo necesario.

1. En la página principal, abra la configuración de usuario y seleccione Tokens de acceso personal.

2. Seleccione el PAT y, a continuación, Revoque.

   

3. En el cuadro de diálogo de confirmación, seleccione Revocar.

   

Reemplazar un PAT que va a expirar o revocado

Después de que un PAT expire o se revoque, Azure DevOps rechaza los intentos de autenticación posteriores que lo usan. Normalmente, se produce un error en una canalización, un script, un cliente de paquete o una operación de Git la próxima vez que se autentique. Azure DevOps no garantiza que la revocación finalice todas las conexiones que ya están establecidas.

Girar un PAT antes de que expire

Para reemplazar un PAT sin una interrupción de servicio evitable:

1. Cree un PAT con ámbito de organización solo con los ámbitos necesarios y una duración corta.

2. Almacene el nuevo valor en el almacén de secretos. No incluya PAT en las URL remotas de Git, .git/config, el código fuente, los archivos YAML de la canalización ni los registros.

3. Pruebe el nuevo PAT con una operación de no producción o una integración antes de actualizar cada dependencia.

4. Actualice cada servicio o herramienta que almacene el PAT anterior:

   Integration	Dónde actualizar la credencial
   Git	Administrador de credenciales de Git u otro administrador de credenciales seguro
   Azure Pipelines	Una variable secreta, un grupo de variables o una conexión de servicio
   Azure Artifacts	El proveedor de credenciales de Azure Artifacts o la configuración segura del administrador de paquetes
   Secuencias de comandos y clientes REST	Un almacén de secretos o una variable de entorno protegida
   Herramientas de terceros	Almacén seguro de credenciales de la herramienta

5. Pruebe cada integración actualizada. Ejecute la canalización afectada, la operación de Git, la operación de paquete, el script o la solicitud de API y compruebe si hay errores de autenticación.

6. Revoque el PAT antiguo.

Mantenga un inventario del propietario, el propósito, los alcances, la fecha de caducidad y las integraciones dependientes de cada PAT. Reemplazar los PAT antes de que caduquen en función de la política de su organización y del nivel de riesgo del escenario.

Recuperación después de la expiración o revocación

Si un PAT deja de funcionar inesperadamente:

1. En la página Tokens de acceso personal , compruebe el estado y la expiración del PAT.
2. Cree un PAT de reemplazo solo con los ámbitos necesarios para las integraciones afectadas.
3. Actualice las integraciones que almacenan el PAT no disponible.
4. Pruebe cada integración y supervise su siguiente operación programada para detectar errores de autenticación.

{
  "displayName": "CI build access",
  "scope": "vso.build",
  "validTo": "{expiration-in-UTC}",
  "allOrgs": false
}

Formato PAT

Las cadenas PAT usan un formato identificable que mejora la detección de secretos y reduce los falsos positivos.

• Los PAT tienen 84 caracteres, incluidos 52 caracteres aleatorios.
• Azure DevOps PAT contienen la firma fija AZDO en las posiciones 76 a 80.

Si la integración valida los PAT, admita el formato de 84 caracteres. Para los controles para tokens filtrados, consulte Revocar automáticamente los PAT filtrados.

Mejores prácticas para el uso de PAT

Considere alternativas

• Use tokens de Microsoft Entra para aplicaciones y automatización.
• Para comandos únicos, adquiera un token de Microsoft Entra a través del CLI de Azure.
• Para Git, use El Administrador de credenciales de Git. Para Azure Artifacts, use el proveedor de credenciales de Azure Artifacts.

Creación de PAT

• Cree solo los PAT de ámbito organizativo. Los PAT globales dejan de funcionar el 1 de diciembre de 2026.
• Use un PAT diferente para cada herramienta o flujo de trabajo.
• Seleccione solo los ámbitos necesarios para la tarea.
• Mantenga la duración tan corta como sea práctica.
• No incluya datos personales ni ninguna parte del valor del token en su nombre visible.

Administración de PAT

• No comparta los PAT.
• Almacene PAT en un almacén de secretos seguro, como Azure Key Vault.
• Reemplace los PAT antes de que expiren y revoquelos cuando ya no sean necesarios.
• Revoque un PAT inmediatamente si está expuesto o comprometido.

Preguntas más frecuentes

¿Qué ocurre con las PAT cuando se deshabilita una cuenta de usuario?

Cuando una cuenta está deshabilitada o quitada de una organización, sus PAT ya no pueden acceder a los recursos de esa organización. Azure DevOps no elimina automáticamente las PAT. Si se restaura el acceso, un PAT que no ha expirado o revocado funciona con los permisos actuales del usuario.

¿Puedo usar PAT con todas las API rest de Azure DevOps?

No. Los PAT funcionan con la mayoría de las API rest de Azure DevOps. Algunas API, incluidas las API de administración del ciclo de vida de las organizaciones, perfiles y PAT, requieren tokens de Microsoft Entra.

¿Puedo usar un PAT como clave de API para publicar paquetes NuGet?

No. Azure Artifacts no admite pasar un PAT como una clave de API. En un entorno de desarrollo local, instale el proveedor de credenciales de Azure Artifacts. En Azure Pipelines, use la tarea NuGet Authenticate.

Para obtener ejemplos, consulte Publicación con dotnet, Publicación con NuGet.exey Publicación de paquetes NuGet con Azure Pipelines.

¿Por qué dejó de funcionar mi PAT?

Compruebe si el PAT expiró, se revocó, se volvió inactivo, tiene ámbitos insuficientes o pertenece a un usuario cuyos permisos cambiaron. Para una organización respaldada por Microsoft Entra ID, inicie sesión en Azure DevOps y complete la solicitud de autenticación completa e inténtelo de nuevo. Es posible que la configuración del acceso condicional requiera inicio de sesión más frecuente.

Para Azure DevOps Server, la autenticación básica de IIS impide la autenticación PAT. Mantenga deshabilitada la autenticación básica de IIS.

¿Cómo se crea un token de acceso que no está vinculado a un usuario?

Los PAT siempre están asociados al usuario que los creó. Para una identidad que no sea de usuario, use un token de Microsoft Entra emitido a una entidad de servicio de aplicación o una identidad administrada. En el caso de las canalizaciones, use una conexión de servicio.

Artículos relacionados

• Guía de autenticación
• Authenticate con tokens de Microsoft Entra
• Uso de entidades de servicio e identidades administradas
• Administración de PAT con directivas
• Revocar PAT de usuario.