Conectar o Azure DevOps

O Workspace lê a sua organização do Azure DevOps com um Personal Access Token (PAT). Com ele o Leavory mapeia projetos, repositórios, pipelines, membros e service connections.

O Leavory só lê. Todas as chamadas são de leitura: nenhum escopo de escrita é necessário, e o Leavory não altera código, pipelines nem permissões.

Escopos mínimos do PAT

Na criação do PAT, escolha Custom defined e marque só estes cinco escopos, todos em Read:

Escopo (como aparece no Azure DevOps)	O que o Leavory lê com ele
Project and Team → Read	Lista de projetos da organização
Code → Read	Repositórios, arquivos (Dockerfile, manifestos de pacotes) e políticas de branch
Build → Read	Pipelines, execuções e artefatos dos builds (como o relatório do scan)
Graph → Read	Grupos e membros de cada projeto, para o inventário de acessos
Service Connections → Read	Lista de service connections de cada projeto, sem os segredos delas

Não use Full access

Um PAT com Full access funciona, mas dá ao token muito mais poder do que o Leavory precisa. Se ele vazar, quem o tiver pode alterar código e pipelines. Use sempre Custom defined com os cinco escopos acima.

Criar o PAT

1. No Azure DevOps, clique no ícone de User settings (canto superior direito) → Personal access tokens.

2. Clique em + New Token e preencha:

   Campo	Valor
   Name	leavory-workspace
   Organization	só a organização que o Leavory vai ler (não use All accessible organizations)
   Expiration	o prazo que a política da sua empresa permite. Anote a data para trocar antes
   Scopes	Custom defined → os cinco escopos, todos em Read

   Para ver os escopos Graph e Service Connections, clique em Show all scopes no fim da lista.

3. Clique em Create e copie o token na hora. O Azure DevOps não mostra o valor de novo.

Qual usuário deve criar o PAT

O PAT enxerga só o que o usuário que o criou enxerga. Projetos em que ele não é membro ficam fora do Leavory.

O ideal é uma conta de serviço dedicada, com:

• nível de acesso Basic na organização;
• grupo Readers em cada projeto que o Leavory deve mapear.

Assim o inventário não depende da conta de uma pessoa, e o acesso não muda quando alguém troca de time ou sai da empresa.

Configurar no Workspace

1. No Workspace, abra Settings → aba Azure DevOps.

2. Preencha Organization (o nome que aparece em dev.azure.com/<organização>) e Access token (PAT).

3. Clique em Test connection. O Leavory testa cada escopo e mostra o resultado:

   Checagem	Escopo testado
   Organization and projects	Project and Team (Read)
   Repositories	Code (Read)
   Pipelines and builds	Build (Read)
   Service connections	Service Connections (Read)
   Project members	Graph (Read)

4. Com todas as checagens ok, clique em Save.

O teste não salva nada. Com um PAT já salvo, deixar o campo em branco testa o que está salvo.

Mensagens do teste

Mensagem	O que fazer
Missing permission: <escopo>	Edite o PAT no Azure DevOps e marque o escopo indicado, em Read
The access token was rejected (invalid, expired, or not valid for this organization)	Token errado, vencido ou criado para outra organização. Crie outro
Organization "<nome>" was not found on dev.azure.com	Confira o nome da organização
Token accepted, but it cannot see any project in this organization	O usuário do PAT não é membro de nenhum projeto. Adicione-o como Reader
Could not reach Azure DevOps from Leavory	Falha de rede momentânea. Tente de novo em alguns minutos

Trocar o PAT

PATs do Azure DevOps sempre vencem. Antes da data de expiração:

1. Crie um PAT novo com os mesmos escopos (ou use Regenerate no PAT atual).
2. Em Settings → Azure DevOps, cole o token novo, clique em Test connection e depois em Save.
3. Revogue o PAT antigo no Azure DevOps, se ele não foi regenerado.