Schnellere Sicherheitsüberprüfung mit CodeQL-Standardeinrichtung und erweiterten Autofix-Steuerelementen

In diesem Sprint ist es einfacher denn je, die Anwendungssicherheit mithilfe von GitHub Advanced Security for Azure DevOps zu stärken. CodeQL-Standardsetup ist jetzt allgemein verfügbar und bietet die schnellste Möglichkeit zum Aktivieren der Codeüberprüfung ohne Erstellung oder Wartung von Pipeline-YAML. Dieser Sprint führt auch die C/C++-Unterstützung, automatische anfängliche Scans ein, wenn die Standardeinrichtung aktiviert ist, verbesserte Sichtbarkeit der Scanausführung und erweiterte Copilot Autofix-Konfiguration auf Organisation-, Projekt- und Repositoryebene.

Zusammen helfen diese Verbesserungen Teams dabei, Sicherheitsrisiken schneller zu erkennen und zu beheben und gleichzeitig den Verwaltungsaufwand zu verringern.

Weitere Informationen finden Sie in den Versionshinweisen.

General

GitHub Advanced Security für Azure DevOps

Azure Pipelines

Azure Repos

Azure Testpläne

General

Tools für die Enterprise-Live-Migration zum Azure DevOps Remote MCP Server hinzugefügt

Enterprise Live Migrations (ELM) hilft Ihnen bei der Migration von Azure DevOps-Repositorys in die GitHub Enterprise Cloud mit Datenresidenz bei gleichzeitiger Minimierung von Unterbrechungen für Ihre Entwicklungsteams.

Wir haben ELM-Unterstützung zum Azure DevOps Remote-MCP-Server hinzugefügt, sodass Agents allgemeine Migrationsaufgaben über den Server ausführen können.

Eine Liste der verfügbaren Tools und der erforderlichen Konfiguration finden Sie in der Dokumentation zu Azure DevOps Remote MCP Server.

Note

Enterprise Live-Migrationen (ELM) sind derzeit als private Vorschau verfügbar.

Kostenberichterstattung auf Projektebene für Copilot Code-Reviews

Wir haben den Abrechnungsdaten für Copilot Code Review Projekt-Tags hinzugefügt, wodurch Berichte, Budgets und Warnungen in Azure Cost Management auf Projektbasis ermöglicht werden. Dies erleichtert die Nachverfolgung der Kosten für Copilot Code Review nach Azure-DevOps-Projekt, verbessert die Kostenzuordnung und ermöglicht die Überwachung der Nutzung in Ihrer Organisation.

Azure Cost Management-Filter, der Optionen für das Projekt-Tag für die Kostenberichterstattung von Copilot Code Review anzeigt

GitHub Advanced Security für Azure DevOps

CodeQL-Standardsetup ist jetzt allgemein verfügbar

CodeQL-Standardsetup ist jetzt allgemein verfügbar. Das Standardsetup ist die schnellste Möglichkeit, CodeQL-Codescans zu aktivieren: Es konfiguriert und führt CodeQL für Ihr Repository automatisch aus, ohne dass Sie Pipeline-YAML erstellen oder pflegen müssen. Aktivieren Sie es über die Einstellungen Ihres Repositorys und die erweiterte Sicherheit übernimmt den Rest.

Dieses Release bringt außerdem Verbesserungen, die Ausführungen des Standardsetups leichter zu überwachen und zu finden machen:

  • Erweiterte Protokollanzeige für Ausführungen mit der Standardkonfiguration – eine übersichtliche, leicht lesbare Protokollansicht, damit Sie schnell überprüfen können, ob ein Scan erfolgreich abgeschlossen wurde, und bei Bedarf Details einsehen können.

Erweiterte Protokollansicht mit einer Ausführung mit CodeQL-Standardkonfiguration, die erfolgreich abgeschlossen wurde

  • Eindeutigere Benennung von Ausführungen — eine aktualisierte Benennungskonvention macht Standard-Setup-Ausführungen in der Ansicht des Auftragsprotokolls Ihres Agentpools auf einen Blick leicht erkennbar.
  • Neue Status- und Repositoryfilter in der Auftragsprotokollansicht des Agentpools – Filtern Sie Aufträge nach Status und Repository, um schnell herauszufinden, was mit einem Auftrag in Ihrem Agentpool passiert ist. Diese Filter gelten für alle Jobs in der Ansicht, nicht nur für Standard-Setup-Läufe.

Protokollansicht für Agentpoolaufträge mit neuen Status- und Repository-Filtern

CodeQL-Standardsetup unterstützt jetzt C/C++

CodeQL-Standardsetup unterstützt jetzt C/C++. Wenn Sie die Standardkonfiguration aktivieren, wird C/C++ im Bereich „Zusätzliche Details“ als unterstützte Sprache angezeigt und im Rahmen Ihrer konfigurierten Standardkonfiguration gescannt. Weitere Informationen finden Sie unter code scanning einrichten.

Die CodeQL-Standardeinrichtung wartet bei der Aktivierung automatisch einen ersten Durchlauf ein

Wenn Sie codeQL-Standardsetup auf Organisation oder Projektebene aktivieren, wird jetzt automatisch eine anfängliche Ausführung in die Warteschlange gestellt, sodass Sie nicht warten müssen, bis die geplante wöchentliche Ausführung ihre ersten Ergebnisse erhält. Weitere Informationen finden Sie unter code scanning einrichten.

Aktivieren von Autofix auf Organisation-, Projekt- oder Repositoryebene

Sie können jetzt Copilot Autofix auf Organisation-, Projekt- oder Repositoryebene aktivieren. Bisher konnte Autofix nur pro Repository konfiguriert werden; mit der bereichsübergreifenden Aktivierung können Sie Autofix einmal auf einer übergeordneten Ebene aktivieren, sodass es in all Ihren Repositorys gilt. Weitere Informationen finden Sie unter Copilot Autofix für Codescanning.

Löschen des Fehlerzustands und Wiederholen der Autofix-Ausführung

Wenn eine Copilot Autofix-Ausführung fehlschlägt, zeigt die Warnungsdetailansicht jetzt einen prominenten Fehlerzustand an, sodass Sie schnell sehen können, dass eine Ausführung nicht erfolgreich war und wo sie untersucht werden soll, sowie eine klare Option zum erneuten Ausführen der Ausführung.

Weitere Informationen zu Copilot Autofix finden Sie unter Copilot Autofix für Codeüberprüfung.

Copilot-Autofix-Fehlermeldung beim Codescan.

Azure Pipelines

Manuelle und automatische Deaktivierung von Dienstverbindungen

Dienstverbindungen haben ständigen Zugriff auf externe oder Remotedienste, die für Aufgaben in einem Pipelineauftrag bestimmt oder verwendet werden. Wenn eine Pipeline so aktualisiert wird, dass sie manuell ausgelöst wird, aber tatsächlich nie ausgelöst wird, bleibt der Zugriff erhalten.

Dienstverbindungen, auf die weiterhin in Pipelines verwiesen wird, aber nicht mehr verwendet werden, können vom Dienstverbindungsadministrator deaktiviert werden, z. B. die Person, die die Dienstverbindung erstellt hat, oder ein Project Administrator. Wenn Sie eine Dienstverbindung deaktivieren möchten, klicken Sie in der oberen rechten Ecke auf die drei Punkte, und wählen Sie "Deaktivieren" aus.

Screenshot, der zeigt, wie eine Dienstverbindung deaktiviert wird.

In Microsoft wird es als bewährte Methode betrachtet, Dienstverbindungen ohne Verwendung automatisch zu deaktivieren. Im Rahmen des Secure Future Initiative Secure-Prinzips wird standardmäßig begonnen, Dienstverbindungen zu deaktivieren, die seit 100 Tagen nicht verwendet wurden. Deaktivierte Dienstverbindungen werden im Überwachungsprotokoll protokolliert. Wenn Sie eine Dienstverbindung nach 100 Tagen Inaktivität erneut aktivieren müssen, klicken Sie auf die drei Punkte in der oberen rechten Ecke, und wählen Sie "Aktivieren" aus.

Screenshot, der zeigt, wie eine Dienstverbindung aktiviert wird.

Der Azure DevOps Aussteller in Arbeitslastidentitätsverbunddienstverbindungen ist veraltet.

Der Azure DevOps Aussteller in Workload Identity Federation Service Connections ist veraltet und wird am 1. Juli 2027 eingestellt. Der veraltete Aussteller verwendet das https://vstoken.dev.azure.com Präfix in Verbundanmeldeinformationen.

Neue Workload-Identitätsverbunddienstverbindungen verwenden standardmäßig den Microsoft Entra Aussteller. Vorhandene Dienstverbindungen, die den Azure DevOps Aussteller weiterhin verwenden, funktionieren weiterhin bis zur Einstellung, aber Sie sollten sie vor dem 1. Juli 2027 auf den Microsoft Entra Aussteller aktualisieren.

Dienstverbindungen, die eine Aktion benötigen, werden oben in der Dienstverbindungsliste angezeigt und eine Warnung in der Benutzeroberfläche für die Dienstverbindungskonfiguration angezeigt. Wählen Sie bei der Dienstverbindung Aktualisieren aus, um sie zum Microsoft Entra-Aussteller zu ändern.

Important

Diese Veraltung gilt nur für Dienstverbindungen in der öffentlichen Azure-Cloud, die Single-Tenant-Microsoft-Entra-Anwendungen oder verwaltete Identitäten verwenden. Dienstverbindungen für nicht öffentliche Clouds, z. B. Azure Government, Azure China oder Azure Stack, und Dienstverbindungen, die mehrinstanzenfähige Anwendungen (signInAudience: AzureADMultipleOrgs) verwenden, werden ausgeschlossen.

Weitere Informationen finden Sie in der Ankündigung Außerbetriebnahme des Azure DevOps-Ausstellers in Dienstverbindungen für die Workload Identity Federation und in der Dokumentation Konvertieren von Dienstverbindungen vom Azure DevOps-Aussteller zum Microsoft Entra-Aussteller.

Azure Repos

Wenn Sie einen neuen Branch in Azure Repos pushen, enthält die Ausgabe von „git push“ jetzt einen direkten Link zum Erstellen eines Pull Requests. Dies macht es schneller, eine PR direkt nach dem Pushen zu öffnen, ohne manuell zur Webbenutzeroberfläche zu navigieren.

Beispielausgabe:

remote:
remote: Create a pull request for 'my-branch' on Azure DevOps by visiting:
remote:   https://dev.azure.com/org/project/_git/repo/pullrequestcreate?sourceRef=my-branch&targetRef=main
remote:

Azure Testpläne

Die Funktion „Actual Result“ für manuelle Tests ist jetzt allgemein verfügbar.

Die Funktion „Ist-Ergebnis“ für manuelles Testen in Azure Test Plans ist jetzt allgemein verfügbar. Wir haben die öffentliche Vorschau im April angekündigt, und basierend auf dem positiven Feedback der Community und der soliden technischen Leistung des Features werden wir es jetzt für die allgemeine Verfügbarkeit bewerben.

Das tatsächliche Ergebnis war eine der am häufigsten angeforderten Funktionen der Community. Mit dem tatsächlichen Ergebnis können Sie präzise Ergebnisse auf Schrittebene für jeden Testschritt mithilfe von Text und Anlagen aufzeichnen. Diese Funktion verbessert die Rückverfolgbarkeit, die Auditfähigkeit und die teamübergreifende Zusammenarbeit. Sie können das tatsächliche Ergebnis als optionales oder obligatorisches Feld auf Testplanebene aktivieren, erfasste Ergebnisse direkt im Test run Hub überprüfen und programmgesteuert über die Azure DevOps REST-API darauf zugreifen.

Nächste Schritte

Note

Diese Features werden in den nächsten zwei bis drei Wochen eingeführt. Wechseln Sie zu Azure DevOps und sehen Sie es sich an.

Gehen Sie zu Azure DevOps

So geben Sie Feedback

Wir möchten hören, was Sie über diese Features denken. Verwenden Sie das Hilfemenü, um ein Problem zu melden oder einen Vorschlag bereitzustellen.

Vorschlag erstellen

Sie können auch Ratschläge und Ihre Fragen von der Community in Stack Overflow beantworten lassen.

  • Last updated on