Azure DevOps에서 마이그레이션에 대한 액세스 관리

GitHub Enterprise Importer에 필요한 액세스 권한 정보

데이터를 보호하기 위해 GitHub는 GitHub Enterprise Importer를 사용하도록 특정 액세스 요구 사항을 적용합니다. 이러한 요구 사항은 수행하려는 작업에 따라 달라집니다. 오류를 방지하려면 이 문서를 주의 깊게 검토하고 완료하려는 작업에 대한 모든 요구 사항을 충족하는지 확인해야 합니다.

Azure DevOps에서 GitHub로 리포지토리를 마이그레이션하려면 원본(Azure DevOps의 조직)과 대상(GitHub의 조직)에 대한 충분한 액세스 권한이 필요합니다. 충분한 액세스 권한을 얻으려면 다음 사항이 모두 필요합니다.

• GitHub의 대상 조직에 필요한 역할
• GitHub에서 대상 조직에 액세스할 수 있는 personal access token
  • personal access token에는 역할 및 완료하려는 작업에 따라 필요한 모든 범위가 있어야 합니다.
  • 대상 조직에서 GitHub에 대해 SAML Single Sign-On을 사용하는 경우 SSO에 대한 personal access token에 권한을 부여해야 합니다.
• Azure DevOps에서 원본 조직에 액세스할 수 있는 personal access token

또한 원본 또는 대상에서 IP 허용 목록을 사용하는 경우 GitHub Enterprise Importer의 액세스를 허용하도록 허용 목록을 구성해야 할 수 있습니다.

마이그레이션자 역할 정보

조직 소유자가 마이그레이션을 완료할 필요성을 제거하기 위해 GitHub에 GitHub Enterprise Importer을(를) 사용하는 고유한 역할을 포함합니다. 마이그레이션자 역할을 부여하면 마이그레이션을 처리할 다른 팀 또는 개인을 지정할 수 있습니다. GitHub.com에서만 조직에 대한 마이그레이션자 역할을 부여할 수 있습니다.

개별 사용자 또는 팀에 마이그레이션자 역할을 부여할 수 있습니다. 팀에 마이그레이션자 역할을 할당할 것을 매우 권장합니다. 그런 다음 팀 멤버십을 조정하여 마이그레이션을 실행할 수 있는 사람을 추가로 사용자 지정할 수 있습니다. 팀 멤버십 변경에 대한 자세한 내용은 "팀에 조직 멤버 추가" 또는 "팀에서 조직 구성원 제거"을 참조하세요.

마이그레이션자 역할을 부여하려면 "마이그레이션자 역할 부여"를 참조하세요.

마이그레이션자 역할을 부여한 후 마이그레이션자가 마이그레이션을 실행하기 위한 모든 요구 사항을 충족하는 personal access token을(를) 사용하는지 확인합니다.

GitHub에 필요한 역할

GitHub의 대상 조직의 경우 여러 작업에 서로 다른 역할이 필요합니다.

다음 표에는 어떤 역할이 어떤 작업을 수행할 수 있는지 나열되어 있습니다.

작업	조직 소유자	마이그레이터
리포지토리 마이그레이션을 위한 마이그레이션자 역할 할당
리포지토리 마이그레이션 실행
마이그레이션 로그 다운로드
마네킹 회수

personal access token에 필요한 범위

마이그레이션을 실행하려면 GitHub에서 대상 조직에 액세스할 수 있는 personal access token 하나와 Azure DevOps의 원본 조직에 액세스할 수 있는 다른 personal access token이(가) 필요합니다.

마이그레이션 로그 다운로드와 같은 다른 작업의 경우 GitHub에서 대상 조직에 액세스할 수 있는 personal access token 하나만 필요합니다.

GitHub에 대한 Personal access token

GitHub personal access token (classic)에 필요한 범위는 사용자 역할과 완료하려는 작업에 따라 달라집니다.

작업	조직 소유자	마이그레이터
리포지토리 마이그레이션을 위한 마이그레이션자 역할 할당	admin:org
리포지토리 마이그레이션 실행(대상 조직)	repo, admin:org, workflow	repo, read:org, workflow
마이그레이션 로그 다운로드	repo, admin:org, workflow	repo, read:org, workflow
마네킹 회수	admin:org

Azure DevOps의 Personal access token

Azure DevOpspersonal access token은 work item (read), code (read), identity (read) 범위가 있어야 합니다.

마이그레이션 스크립트를 생성할 때 --rewire-pipelines 플래그를 사용하려면 Build (Read) 범위도 필요합니다. inventory-report 및 --integrate-boards 플래그를 사용하려면 personal access token에 대한 모든 액세스 권한을 부여해야 합니다.

여러 조직에서 마이그레이션하려면 personal access token에서 액세스 가능한 모든 조직에 액세스하도록 허용합니다. 자세한 내용은 Microsoft Docs에서 personal access token 사용을 참조하세요.

마이그레이션자 역할 부여하기

조직 소유자 이외의 사용자가 마이그레이션을 실행하거나 마이그레이션 로그를 다운로드하도록 허용하려면 사용자 또는 팀에 마이그레이션자 역할을 부여할 수 있습니다. 자세한 내용은 "마이그레이션자 역할 정보"를 참조하세요.

ADO2GH extension of the GitHub CLI 또는 GraphQL API를 사용하여 마이그레이션자 역할을 부여할 수 있습니다.

• "ADO2GH extension을 사용하여 마이그레이션자 역할 부여"
• "GraphQL API를 사용하여 마이그레이션자 역할 부여"

ADO2GH extension을(를) 사용하여 마이그레이션자 역할 부여

CLI를 사용하여 마이그레이션자 역할을 부여하려면 ADO2GH extension of the GitHub CLI을(를) 설치해야 합니다. 자세한 내용은 "Azure DevOps에서 GitHub Enterprise Cloud로 리포지토리 마이그레이션"을(를) 참조하세요.

1. GitHub에서 마이그레이션자 역할 부여에 대한 모든 요구 사항을 충족하는 personal access token을(를) 만들고 기록합니다. 자세한 내용은 "GitHub에 대한 personal access token 만들기"를 참조하세요.

2. personal access token을(를) 환경 변수로 설정하고, 아래 명령의 토큰을 위에서 기록한 personal access token로 바꿉니다.

   • 터미널을 사용하는 경우 export 명령을 사용합니다.

     Shell

     export GH_PAT="TOKEN"
     

   • PowerShell을 사용하는 경우 $env 명령을 사용합니다.

     Shell

     $env:GH_PAT="TOKEN"
     

3. gh ado2gh grant-migrator-role 명령을 사용하여 조직을 마이그레이션자 역할을 부여하려는 조직으로 대체하여 ACTOR를 사용자 또는 팀 이름으로, TYPE을 USER 또는 TEAM(으)로 대체합니다.

   Shell

   gh ado2gh grant-migrator-role --github-org ORGANIZATION --actor ACTOR --actor-type TYPE
   

GraphQL API를 사용하여 마이그레이션자 역할 부여

grantMigratorRole GraphQL 변형을 사용하여 마이그레이션자 역할 및 revokeMigratorRole 변형을 할당하여 마이그레이션자 역할을 철회할 수 있습니다.

모든 액세스 요구 사항을 충족하는 personal access token(PAT)를 사용해야 합니다. 자세한 내용은 "personal access token에 필요한 범위"를 참조하세요.

grantMigratorRole 변형

이 GraphQL 변형은 마이그레이션 역할을 설정합니다.

mutation grantMigratorRole (
  $organizationId: ID!,
  $actor: String!,
  $actor_type: ActorType!
) {
  grantMigratorRole( input: {
    organizationId: $organizationId,
    actor: $actor,
    actorType: $actor_type
  })
   { success }
}

쿼리 변수	설명
organizationId	GetOrgInfo 쿼리의 조직에 대한 ownerId(또는 조직 ID)입니다.
actor	마이그레이션 역할을 할당할 팀 또는 사용자 이름입니다.
actor_type	마이그레이션자가 USER 또는 TEAM인지 지정합니다.

revokeMigratorRole 변형

이 변형은 마이그레이션자 역할을 제거합니다.

mutation revokeMigratorRole (
  $organizationId: ID!,
  $actor: String!,
  $actor_type: ActorType!
) {
  revokeMigratorRole( input: {
    organizationId: $organizationId,
    actor: $actor,
    actorType: $actor_type
  })
   { success }
}

GitHub에 대한 personal access token 만들기

1. 완료하려는 작업에 대한 역할이 충분한지 확인합니다. 자세한 내용은 "필요한 역할"을 참조하세요.
2. personal access token (classic)을 만들어 완료하려는 작업에 필요한 모든 범위를 부여하도록 합니다. personal access token (classic)만 사용할 수 있으며 fine-grained personal access token은(는) 사용할 수 없습니다. 자세한 내용은 "개인용 액세스 토큰 관리" 및 "personal access token에 필요한 범위"를 참조하세요.
3. 액세스해야 하는 조직에 SAML Single Sign-On이 적용되는 경우 SSO에 대한 personal access token에 권한을 부여합니다. 자세한 내용은 "SAML Single Sign-On에 사용할 개인용 액세스 토큰 권한 부여"을(를) 참조하세요.

마이그레이션에 대한 IP 허용 목록 구성

마이그레이션의 원본 또는 대상은 IP 허용 목록(GitHub의 IP 허용 목록 기능 또는 ID 공급자(IdP) IP 허용 목록 제한(예: Azure CAP))을 사용하는 경우 GitHub에서 IP 허용 목록을 구성해야 합니다.

• GitHub의 IP 허용 목록 기능을 사용하는 경우 아래의 GitHub IP 범위를 원본 및/또는 대상 조직의 허용 목록에 추가해야 합니다.
• IdP의 IP 허용 목록을 사용하여 GitHub에서 엔터프라이즈에 대한 액세스를 제한하는 경우 마이그레이션이 완료될 때까지 엔터프라이즈 계정 설정에서 이러한 제한을 사용하지 않도록 설정해야 합니다.

자세한 내용은 "조직에 허용되는 IP 주소 관리" 및 "IP 허용 목록을 사용하여 엔터프라이즈에 대한 네트워크 트래픽 제한"의 내용을 참조하세요.

GitHub의 IP 범위 식별

IP 허용 목록에 다음 IP 범위를 추가해야 합니다.

• 192.30.252.0/22
• 185.199.108.0/22
• 140.82.112.0/20
• 143.55.64.0/20
• 40.71.233.224/28
• 2a0a:a440::/29
• 2606:50c0::/32
• 20.125.12.8/29 (2023년 11월 8일 00:00 UTC부터 활성화)

언제든지 REST API의 "GitHub 메타 정보 가져오기" 엔드포인트를 사용하여 GitHub Enterprise Importer에서 사용하는 IP 범위의 최신 목록을 가져올 수 있습니다.

응답의 github_enterprise_importer 키에는 마이그레이션에 사용되는 IP 범위 목록이 포함되어 있습니다.

자세한 내용은 "메타 데이터에 대한 REST API 엔드포인트"을(를) 참조하세요.

추가 참고 자료

• "조직의 역할"