Zugreifen auf einen privaten Schlüsseltresor über Ihre Pipeline

Zugriff auf einen privaten Key Vault über Azure DevOps.

In diesem Abschnitt untersuchen wir zwei Methoden für den Zugriff auf einen privaten Schlüsseltresor aus Azure DevOps. Zuerst verwenden wir variable Gruppen, um Geheimnisse aus Ihrem Kea Vault zu verknüpfen und abzubilden, gefolgt von der Einrichtung des eingehenden Zugriffs durch die Zulassung statischer IP-Bereiche. Wir stellen einen eingehenden Zugriff her, da Azure Pipelines die veröffentlichte öffentliche IP-Adresse von Azure DevOps verwendet, wenn der Azure Key Vault über eine Variablengruppe abgefragt wird. Durch das Hinzufügen von eingehenden Verbindungen zur Azure Key Vault-Firewall können Sie erfolgreich eine Verbindung zu Ihrem Azure Key Vault herstellen.

Beim zweiten Ansatz zeigen wir, wie die IP-Adresse des von Microsoft gehosteten Agenten dynamisch zur Zulassungsliste der Firewall Ihres Schlüsseltresors hinzugefügt, der Schlüsseltresor abgefragt und die IP-Adresse nach Abschluss des Vorgangs wieder entfernt wird. Dieser zweite Ansatz dient nur zu Demonstrationszwecken. Wir empfehlen diesen Ansatz für Azure Pipelines nicht.

Schritt 1: Zuordnen von Key Vault-Geheimnissen mit einer Variablengruppe

Schritt 2: Konfigurieren des eingehenden Zugriffs von Azure DevOps

Um Zugriff auf Ihren Schlüsseltresor über Azure DevOps zu ermöglichen, müssen Sie Zugriff über bestimmte statische IP-Bereiche gewähren. Der geografische Standort Ihrer Azure DevOps Organisation bestimmt diese Bereiche.

1. Melden Sie sich bei Ihrer Azure DevOps-Organisation an.

2. Wählen Sie Organisationseinstellungen aus.

3. Wechseln Sie zur Übersicht , um den geografischen Standort zu finden.

   

4. Ermitteln Sie Ihre geografischen IPv4-Bereiche.

   Wichtig

   Stellen Sie sicher, dass für eingehende Verbindungen in die Vereinigten Staaten die IP-Bereiche für alle US-Regionen hinzugefügt werden.

5. Konfigurieren Sie Ihren Schlüsseltresor, um Zugriff über statische IP-Bereiche zu ermöglichen.

Schritt 3: Abfragen eines privaten Key Vaults mit einer Variablengruppe

In diesem Beispiel verwenden Sie die Variablengruppe, die zuvor eingerichtet und mit einem Dienstprinzipal autorisiert wurde, um Ihr Geheimnis aus Ihrem privaten Azure Key Vault mithilfe der verknüpften Variablengruppe abzufragen und zu kopieren. Azure Pipelines verwendet die gepostete öffentliche IP-Adresse, wenn der Azure-Schlüsseltresor aus einer Variablengruppe abgefragt wird. Stellen Sie daher sicher, dass Sie den eingehenden Zugriff konfiguriert haben, damit diese Aktion ordnungsgemäß funktioniert.

variables:
-  group: mySecret-VG

steps:
- task: CmdLine@2
  inputs:
    script: 'echo $(mySecret) > secret.txt'

- task: CopyFiles@2
  inputs:
    Contents: secret.txt
    targetFolder: '$(Build.ArtifactStagingDirectory)'

- task: PublishBuildArtifacts@1
  inputs:
    PathtoPublish: '$(Build.ArtifactStagingDirectory)'
    ArtifactName: 'drop'
    publishLocation: 'Container'

Alternative Methode: Dynamisches Zulassen der IP-Adresse des von Microsoft gehosteten Agents

Bei diesem zweiten Ansatz fragen Sie die IP des Microsoft gehosteten Agents am Anfang Ihrer Pipeline ab. Anschließend fügen Sie sie der Erlaubnisliste des Key Vault hinzu. Fahren Sie mit den verbleibenden Aufgaben fort und entfernen Sie anschließend die IP aus der Freigabeliste der Firewall des Key Vault.

- task: AzurePowerShell@5
  displayName: 'Allow agent IP'
  inputs:
    azureSubscription: 'YOUR_SERVICE_CONNECTION_NAME'
    azurePowerShellVersion: LatestVersion
    ScriptType: InlineScript
    Inline: |
     $ip = (Invoke-WebRequest -uri "http://ifconfig.me/ip").Content
     Add-AzKeyVaultNetworkRule -VaultName "YOUR_KEY_VAULT_NAME" -ResourceGroupName "YOUR_RESOURCE_GROUP_NAME" -IpAddressRange $ip
     echo "##vso[task.setvariable variable=agentIP]ip"

- task: AzureKeyVault@2
  inputs:
    azureSubscription: 'YOUR_SERVICE_CONNECTION_NAME'
    KeyVaultName: 'YOUR_KEY_VAULT_NAME'
    SecretsFilter: '*'
    RunAsPreJob: false

- task: AzurePowerShell@5
  displayName: 'Remove agent IP'
  inputs:
    azureSubscription: 'YOUR_SERVICE_CONNECTION_NAME'
    azurePowerShellVersion: LatestVersion
    ScriptType: InlineScript
    Inline: |
     $ipRange = $env:agentIP + "/32"
     Remove-AzKeyVaultNetworkRule -VaultName "YOUR_KEY_VAULT_NAME" -IpAddressRange $ipRange
  condition: succeededOrFailed()

Zugreifen auf einen privaten Schlüsseltresor über einen selbstgehosteten Agent

Um von einem Azure Pipelines-Agent auf einen privaten Schlüsseltresor zuzugreifen, müssen Sie entweder einen selbst gehosteten Agenten (Windows, Linux oder Mac) oder Virtual Machine Scale Sets Agents verwenden. Diese Anforderung besteht, weil von Microsoft gehostete Agenten, wie andere generische Computerdienste, nicht in der Liste der vertrauenswürdiger Dienste des Key Vault enthalten sind.

Um eine Verbindung zu Ihrem privaten Key Vault herzustellen, müssen Sie einen privaten Endpunkt für Ihren Schlüsselspeicher konfigurieren, der eine Sichtverbindung ermöglicht Dieser Endpunkt muss routingfähig sein und sein privater Domänenname muss vom selbst gehosteten Pipeline-Agenten aufgelöst werden können.

Schritt 1: Konfigurieren des eingehenden Zugriffs von einem selbst gehosteten Agent

1. Befolgen Sie die Anweisungen zum Erstellen eines virtuellen Netzwerks.

2. Verwenden Sie im Azure-Portal die Suchleiste oben auf der Seite, um Ihren Azure Schlüsseltresor zu finden.

3. Wählen Sie Ihren Schlüsseltresor aus und gehen Sie dann zu Einstellungen>Netzwerkeinstellungen.

4. Wählen Sie Private Endpunktverbindungen und anschließend Erstellen aus, um einen neuen privaten Endpunkt zu erstellen.

   

5. Wählen Sie die Ressourcengruppe aus, in der das virtuelle Netzwerk gehostet wird, das Sie zuvor erstellt haben. Geben Sie einen Namen und einen Netzwerkschnittstellennamen für Ihre Instanz ein, und stellen Sie sicher, dass Sie dieselbe Region wie das zuvor erstellte virtuelle Netzwerk auswählen. Wählen Sie Weiteraus.

   

6. Wählen Sie für Connection-MethodeVerbinden mit einer Azure Ressource in meinem Verzeichnis aus. Wählen Sie für Resource-TypMicrosoft.KeyVault/vaults aus dem Dropdownmenü aus. Wählen Sie Ihre Ressource aus dem Dropdownmenü aus. Zielunterressource wird automatisch mit dem Wert Vault ausgefüllt. Wählen Sie Weiteraus.

   Screenshot, der zeigt, wie Sie die Registerkarte "Ressource" konfigurieren, wenn Sie eine neue private Endpunktinstanz für Ihren Azure Key Vault.

7. Wählen Sie auf der Registerkarte Virtual Network die virtual network und das Subnetz aus, das Sie zuvor erstellt haben, und lassen Sie die restlichen Felder als Standard. Wählen Sie Weiteraus.

8. Übernehmen Sie die Standardeinstellungen auf den Registerkarten DNS und Tags . Wählen Sie auf der Registerkarte Überprüfen + erstellen die Option Erstellen aus.

9. Nachdem Ihre Ressource bereitgestellt wurde, wechseln Sie zu Ihrem Schlüsseltresor und wählen Sie Einstellungen>Netzwerk>Private Endpunktverbindungen aus. Ihr privater Endpunkt sollte mit dem Verbindungsstatus als genehmigt aufgeführt werden. Wenn Sie eine Verknüpfung mit einer Azure Ressource in einem anderen Verzeichnis herstellen, müssen Sie warten, bis der Ressourcenbesitzer Ihre Verbindungsanforderung genehmigt.

   

Schritt 2: Zulassen Ihres virtuellen Netzwerks

1. Wechseln Sie zum Azure-Portal, und suchen Sie dann Ihren Azure-Schlüsseltresor.

2. Wählen Sie "Netzwerkeinstellungen">aus, und stellen Sie sicher, dass Sie sich auf der Registerkarte "Firewalls" und "Virtuelle Netzwerke " befinden.

3. Wählen Sie Virtuelles Netzwerk hinzufügen>Vorhandene virtuelle Netzwerke hinzufügen aus.

4. Wählen Sie Ihr Abonnement im Dropdownmenü aus, wählen Sie das virtuelle Netzwerk aus, das Sie zuvor erstellt haben, und wählen Sie dann Ihre Subnetze aus.

5. Wählen Sie Hinzufügen und scrollen Sie dann zum Ende der Seite und wählen Sie Übernehmen aus, um Ihre Änderungen zu speichern.

   

Schritt 3: Abfragen eines privaten Key Vault über einen selbstgehosteten Agent

Im folgenden Beispiel wird ein Agent verwendet, der auf der virtuellen Maschine des virtuellen Netzwerks eingerichtet ist, um den private Key Vault über die Variablengruppe abzufragen.

pool: Self-hosted-pool

variables:
  group: mySecret-VG

steps:
- task: CmdLine@2
  inputs:
    script: 'echo $(mySecret) > secret.txt'

- task: CopyFiles@2
  inputs:
    Contents: secret.txt
    targetFolder: '$(Build.ArtifactStagingDirectory)'

- task: PublishBuildArtifacts@1
  inputs:
    PathtoPublish: '$(Build.ArtifactStagingDirectory)'
    ArtifactName: 'drop'
    publishLocation: 'Container'

Wenn Sie Azure DevOps eingehenden Zugriff auf Ihren privaten Schlüsseltresor nicht gewähren möchten, können Sie die Aufgabe AzureKeyVault verwenden, um Ihren Schlüsseltresor abzufragen. Sie müssen sicherstellen, dass Sie das virtuelle Netzwerk, das Ihren Agenten hostet, in den Firewall-Einstellungen Ihres Key Vaults zulassen.

pool: Self-hosted-pool

steps:
- task: AzureKeyVault@2
  inputs:
    azureSubscription: '$(SERVICE_CONNECTION_NAME)'
    keyVaultName: $(KEY_VAULT_NAME)
    SecretsFilter: '*'

- task: CmdLine@2
  inputs:
    script: 'echo $(mySecret) > secret.txt'

- task: CopyFiles@2
  inputs:
    Contents: secret.txt
    targetFolder: '$(Build.ArtifactStagingDirectory)'

- task: PublishBuildArtifacts@1
  inputs:
    PathtoPublish: '$(Build.ArtifactStagingDirectory)'
    ArtifactName: 'drop'
    publishLocation: 'Container'