Для защиты данных применяет определенные требования к доступу для использования Enterprise Importer. Эти требования зависят от выполняемой задачи. Чтобы предотвратить ошибки, необходимо внимательно просмотреть эту статью и убедиться, что выполнены все требования для задачи, которую вы хотите завершить.
Чтобы перенести репозиторий из Azure DevOps в , требуется достаточный доступ к источнику (организации в Azure DevOps) и назначению (организации на ). Чтобы получить достаточный доступ, вам потребуется все перечисленные ниже действия.
- Требуемая роль в целевой организации на
- personal access token с доступом к целевой организации на
- Данные personal access token должны иметь все необходимые области, которые зависят от роли и задачи, которую вы хотите завершить.
- Если целевая организация использует единый вход SAML для , необходимо авторизовать personal access token для единого входа.
- personal access token с доступом к исходной организации в Azure DevOps
Кроме того, если вы используете списки разрешений IP с источником или назначением, может потребоваться настроить списки разрешений, чтобы разрешить доступ по Enterprise Importer.
Для целевой организации на для разных задач требуются разные роли.
Для выполнения миграции требуется один personal access token, который может получить доступ к целевой организации на , а другой personal access token для доступа к исходной организации в Azure DevOps.
Для других задач, таких как скачивание журнала миграции, требуется только один personal access token, который может получить доступ к целевой организации на .
Области, необходимые для ваших personal access token (classic) зависят от вашей роли и задачи, которую вы хотите завершить.
Примечание.
Можно использовать только personal access token (classic), а не fine-grained personal access token. Это означает, что вы не можете использовать Enterprise Importer, если в вашей организации используется политика "Ограничить доступ к данным personal access tokens (classic)". Дополнительные сведения см. в разделе Применение политик для персональных маркеров доступа в вашей организации.
| Задача | Владелец организации | Средство переноса |
|---|---|---|
| Назначение роли миграции для миграций репозитория | admin:org | |
| Выполнение миграции репозитория (целевая организация) | repo, , admin:org``workflow | repo, , read:org``workflow |
| Скачивание журнала миграции | repo, , admin:org``workflow | repo, , read:org``workflow |
| Восстановление манекенов | admin:org |
Ваши данные Azure DevOps personal access token должны иметь work item (read)``code (read)``identity (read) и области.
Если вы хотите использовать --rewire-pipelines флаг при создании скрипта миграции, вам также потребуется Build (Read) область. Чтобы использовать inventory-report и integrate-boards флаги, необходимо предоставить полный доступ к данным personal access token.
Если вы хотите перенести данные из нескольких организаций, разрешите personal access token доступ ко всем доступным организациям. Дополнительные сведения см. в разделе personal access tokens в Документация Майкрософт.
Чтобы разрешить другим пользователям, кроме владелец организации выполнять миграцию или скачивать журналы миграции, вы можете предоставить роль миграции пользователю или группе. Дополнительные сведения см. в разделе "Сведения о роли миграции".
Роль миграции можно предоставить с помощью ADO2GH extension of the CLI или API GraphQL.
- Предоставление роли миграции с помощью ADO2GH extension
- Предоставление роли миграции с помощью API GraphQL
Чтобы предоставить роль миграции с помощью интерфейса командной строки, необходимо установить ADO2GH extension of the CLI. Дополнительные сведения см. в разделе Перенос репозиториев из Azure DevOps в Enterprise Cloud.
На создайте и запишите personal access token, которая соответствует всем требованиям для предоставления роли миграции. Дополнительные сведения см. в статье "Создание personal access token для .
gh ado2gh grant-migrator-roleИспользуйте команду, заменив организацию организацией, для которой вы хотите предоставить роль миграции, СУБЪЕКТу имя пользователя или команды и ТИП.USERTEAMShell gh ado2gh grant-migrator-role ---org ORGANIZATION --actor ACTOR --actor-type TYPE
gh ado2gh grant-migrator-role ---org ORGANIZATION --actor ACTOR --actor-type TYPE
- Убедитесь, что у вас есть достаточная роль для задачи, которую вы хотите завершить. Дополнительные сведения см. в разделе "Обязательные роли".
- Создайте personal access token (classic), чтобы предоставить все области, необходимые для выполнения задачи. Можно использовать только personal access token (classic), а не fine-grained personal access token. Дополнительные сведения: Управление личными маркерами доступа и обязательные области для personal access token.
- Если единый вход SAML применяется для организаций, к ним необходимо получить доступ, авторизуйте personal access token для единого входа. Дополнительные сведения см. в разделе Авторизация личного токена доступа для использования с документами единого входа SAML.
Вам потребуется добавить следующие диапазоны IP-адресов в список разрешений IP-адресов.
- 192.30.252.0/22
- 185.199.108.0/22
- 140.82.112.0/20
- 143.55.64.0/20
- 40.71.233.224/28
- 2a0a:a440::/29
- 2606:50c0::/32
- 20.125.12.8/29 (активно с 00:00 UTC 8 ноября 2023 г.)
Вы можете получить актуальный список диапазонов IP-адресов, используемых Enterprise Importer в любое время с помощью конечной точки "Получить метаданные " REST API.
Ключ _enterprise_importer в ответе содержит список диапазонов IP-адресов, используемых для миграции.
Дополнительные сведения см. в разделе Конечные точки REST API для метаданных.
Необходимо разрешить:
- Диапазоны, необходимые для всех
- Дополнительные диапазоны, зависящие от региона расположения данных
Дополнительные диапазоны см. в разделе Сведения о сети для GHE.com.