Accedere a una cassaforte di chiavi privata dalla tua pipeline

Accedere a un archivio di chiavi private da Azure DevOps

In questa sezione, esaminiamo due metodi per accedere a un insieme di credenziali chiavi privato da Azure DevOps. Prima di tutto, si usano gruppi di variabili per collegare e mappare i segreti dal Key Vault, seguito dalla configurazione dell'accesso in ingresso consentendo intervalli IP statici. Stabiliamo l'accesso in ingresso perché Azure Pipelines utilizza l'indirizzo IP pubblico di Azure DevOps pubblicato per eseguire query sul Key Vault di Azure da un gruppo di variabili. Aggiungendo connessioni inbound al firewall del Key Vault, è possibile connettersi correttamente al Key Vault di Azure.

Per il secondo approccio, dimostriamo l'aggiunta dinamica dell'indirizzo IP dell'agente ospitato da Microsoft all'elenco di indirizzi consentiti del firewall della cassetta di sicurezza delle chiavi, l'interrogazione della cassetta di sicurezza delle chiavi e successivamente la rimozione dell'indirizzo IP dopo il completamento. Questo secondo approccio è solo a scopo dimostrativo. Questo approccio non è consigliato per Azure Pipelines.

Passaggio 1: Mappare i segreti dell'insieme di credenziali del Key Vault con un gruppo di variabili

Passaggio 2: Configurare l'accesso in ingresso da Azure DevOps

Per abilitare l'accesso al vault delle chiavi da Azure DevOps, è necessario concedere l'accesso da specifici intervalli IP statici. La posizione geografica dell'organizzazione Azure DevOps determina questi intervalli.

1. Accedi alla tua organizzazione di Azure DevOps.

2. Seleziona Impostazioni organizzazione.

3. Passare a Panoramica per trovare la posizione geografica.

   

4. Trova gli intervalli IP V4 per area geografica.

   Importante

   Per le connessioni in ingresso negli Stati Uniti, assicurarsi di aggiungere gli intervalli IP per tutte le regioni degli Stati Uniti.

5. Configura il Key Vault per consentire l'accesso da intervalli IP statici.

Passaggio 3: Eseguire query su un vault delle chiavi privato con un gruppo di variabili

In questo esempio, si usa il gruppo di variabili configurato in precedenza e autorizzato con un principale del servizio per eseguire query e copiare il segreto dal Key Vault di Azure privato per usare il gruppo di variabili collegato. Azure Pipelines utilizza l'indirizzo IP pubblico inviato quando interroga Azure Key Vault a partire da un gruppo di variabili, quindi assicurati di aver configurato l'accesso in ingresso affinché questa azione funzioni correttamente.

variables:
-  group: mySecret-VG

steps:
- task: CmdLine@2
  inputs:
    script: 'echo $(mySecret) > secret.txt'

- task: CopyFiles@2
  inputs:
    Contents: secret.txt
    targetFolder: '$(Build.ArtifactStagingDirectory)'

- task: PublishBuildArtifacts@1
  inputs:
    PathtoPublish: '$(Build.ArtifactStagingDirectory)'
    ArtifactName: 'drop'
    publishLocation: 'Container'

Metodo alternativo: autorizzare dinamicamente l'IP dell'agente ospitato da Microsoft

In questo secondo approccio si esegue una richiesta sull'indirizzo IP dell'agente ospitato da Microsoft fin dall'inizio della pipeline. Quindi, aggiungerlo all'elenco di autorizzazioni del Key Vault. Procedere con le attività rimanenti e quindi rimuovere l'indirizzo IP dall'elenco di indirizzi consentiti del firewall del key vault.

- task: AzurePowerShell@5
  displayName: 'Allow agent IP'
  inputs:
    azureSubscription: 'YOUR_SERVICE_CONNECTION_NAME'
    azurePowerShellVersion: LatestVersion
    ScriptType: InlineScript
    Inline: |
     $ip = (Invoke-WebRequest -uri "http://ifconfig.me/ip").Content
     Add-AzKeyVaultNetworkRule -VaultName "YOUR_KEY_VAULT_NAME" -ResourceGroupName "YOUR_RESOURCE_GROUP_NAME" -IpAddressRange $ip
     echo "##vso[task.setvariable variable=agentIP]ip"

- task: AzureKeyVault@2
  inputs:
    azureSubscription: 'YOUR_SERVICE_CONNECTION_NAME'
    KeyVaultName: 'YOUR_KEY_VAULT_NAME'
    SecretsFilter: '*'
    RunAsPreJob: false

- task: AzurePowerShell@5
  displayName: 'Remove agent IP'
  inputs:
    azureSubscription: 'YOUR_SERVICE_CONNECTION_NAME'
    azurePowerShellVersion: LatestVersion
    ScriptType: InlineScript
    Inline: |
     $ipRange = $env:agentIP + "/32"
     Remove-AzKeyVaultNetworkRule -VaultName "YOUR_KEY_VAULT_NAME" -IpAddressRange $ipRange
  condition: succeededOrFailed()

Accedere a un archivio di chiavi privato da un agente autogestito

Per accedere a un insieme di credenziali delle chiavi private da un agente Azure Pipelines, è necessario usare un agente self-hosted (Windows, Linux o Mac) o agenti di set di scalabilità di macchine virtuali. Questo requisito si deve al fatto che gli agenti ospitati di Microsoft, come altri servizi di calcolo generici, non sono inclusi nell'elenco dei servizi attendibili.

Per stabilire la connettività con il tuo deposito di chiavi privato, è necessario configurare un endpoint privato per il tuo deposito di chiavi in modo da fornire una connettività a visibilità diretta. Questo endpoint deve essere instradabile e avere il nome del Sistema dei Nomi di Dominio privato risolvibile dall'agente della pipeline auto-ospitata.

Passaggio 1: Configurare l'accesso in entrata da un agente ospitato in locale

1. Seguire le istruzioni per creare una rete virtuale.

2. Nel portale Azure, utilizza la barra di ricerca nella parte superiore della pagina per trovare il tuo servizio Azure Key Vault.

3. Selezionare l'insieme di credenziali delle chiavi e quindi passare a Impostazioni>rete.

4. Selezionare Connessioni endpoint privato e quindi selezionare Crea per creare un nuovo endpoint privato.

   

5. Selezionare il gruppo di risorse che ospita la rete virtuale creata in precedenza. Immettere un nome e un nome di interfaccia di rete per l'istanza e assicurarsi di selezionare la stessa area della rete virtuale creata in precedenza. Seleziona Avanti.

   

6. Per il metodo di connessione, selezionare Connetti a una risorsa di Azure nella mia directory. Per Tipo di risorsa scegliere Microsoft. KeyVault/vaults dal menu a discesa. Selezionare la risorsa dal menu a discesa. La sotto-risorsa di destinazione viene popolata automaticamente con il valore vault. Seleziona Avanti.

   

7. Nella scheda Rete virtuale selezionare il virtual network e la subnet creati in precedenza e lasciare il resto dei campi come predefinito. Seleziona Avanti.

8. Accettare le impostazioni predefinite nelle schede DNS e Tag . Nella scheda Rivedi e crea selezionare Crea.

9. Dopo aver distribuito la risorsa, passare al Key Vault e selezionare Impostazioni>Rete>Connessioni endpoint private. L'endpoint privato deve essere elencato con stato Connessioneapprovato. Se si collega a una risorsa Azure in una directory diversa, è necessario attendere che il proprietario della risorsa approvi la richiesta di connessione.

   

Passaggio 2: Consentire la rete virtuale

1. Vai al portale di Azure, quindi individua il tuo Azure Key Vault.

2. Selezionare Impostazioni>Rete, e assicurarsi di essere nella scheda Firewall e reti virtuali.

3. Selezionare Aggiungi una rete>virtuale Aggiungi reti virtuali esistenti.

4. Selezionare la sottoscrizione dal menu a discesa, selezionare la rete virtuale creata in precedenza e quindi selezionare le subnet.

5. Selezionare Aggiungi e quindi scorrere fino alla fine della pagina e selezionare Applica per salvare le modifiche.

   

Passaggio 3: Eseguire query su un insieme di credenziali delle chiavi privato da un agente self-hosted

L'esempio seguente utilizza un agente configurato sulla macchina virtuale della rete virtuale per eseguire query sull'archivio delle chiavi private tramite il gruppo di variabili:

pool: Self-hosted-pool

variables:
  group: mySecret-VG

steps:
- task: CmdLine@2
  inputs:
    script: 'echo $(mySecret) > secret.txt'

- task: CopyFiles@2
  inputs:
    Contents: secret.txt
    targetFolder: '$(Build.ArtifactStagingDirectory)'

- task: PublishBuildArtifacts@1
  inputs:
    PathtoPublish: '$(Build.ArtifactStagingDirectory)'
    ArtifactName: 'drop'
    publishLocation: 'Container'

Se non si desidera concedere a Azure DevOps l'accesso in ingresso al key vault privato, è possibile utilizzare l'attività AzureKeyVault per interrogare il key vault. È necessario assicurarsi di consentire l'accesso alla rete virtuale che ospita l'agente nelle impostazioni del firewall del key vault.

pool: Self-hosted-pool

steps:
- task: AzureKeyVault@2
  inputs:
    azureSubscription: '$(SERVICE_CONNECTION_NAME)'
    keyVaultName: $(KEY_VAULT_NAME)
    SecretsFilter: '*'

- task: CmdLine@2
  inputs:
    script: 'echo $(mySecret) > secret.txt'

- task: CopyFiles@2
  inputs:
    Contents: secret.txt
    targetFolder: '$(Build.ArtifactStagingDirectory)'

- task: PublishBuildArtifacts@1
  inputs:
    PathtoPublish: '$(Build.ArtifactStagingDirectory)'
    ArtifactName: 'drop'
    publishLocation: 'Container'