Toegang tot een privé sleutelkluis vanuit uw pijplijn

Toegang tot een persoonlijke sleutelkluis vanuit Azure DevOps

In deze sectie worden twee methoden beschreven voor toegang tot een persoonlijke sleutelkluis vanuit Azure DevOps.

De eerste methode maakt gebruik van variabele groepen om geheimen uit uw sleutelkluis te koppelen en toe te wijzen, gevolgd door het instellen van binnenkomende toegang door statische IP-bereiken toe te staan. Azure-pipelines gebruikt het openbare IP-adres van Azure DevOps bij het opvragen van een sleutelkluis vanuit een variabelegroep, dus moet u die IP-bereiken toestaan in de firewall van de sleutelkluis.

Met de tweede methode wordt het ip-adres van de Microsoft gehoste agent dynamisch toegevoegd aan de acceptatielijst van de sleutelkluisfirewall aan het begin van de pijplijn, wordt de sleutelkluis opgevraagd en wordt het IP-adres ten slotte verwijderd. Deze methode is alleen bedoeld voor demonstratiedoeleinden en wordt niet aanbevolen voor productiegebruik.

Stap 1: Key Vault-geheimen toewijzen aan een variabelengroep

Stap 2: Binnenkomende toegang vanuit Azure DevOps configureren

Nadat u de variabelegroep hebt geconfigureerd, kunt u binnenkomende toegang van Azure DevOps naar uw sleutelkluis toestaan door de statische IP-bereiken voor de geografische regio van uw organisatie toe te voegen.

1. Meld u aan bij uw Azure DevOps-organisatie.

2. Selecteer Organisatie-instellingen.

3. Ga naar Overzicht om de geografische locatie te vinden.

   

4. Zoek uw geografische IP V4-bereiken.

   Belangrijk

   Voor Verenigde Staten binnenkomende verbindingen moet u ervoor zorgen dat u de IP-bereiken voor alle Amerikaanse regio's toevoegt.

5. Configureer uw sleutelkluis om toegang vanuit statische IP-bereiken toe te staan.

Stap 3: Een privésleutelkluis opvragen met een variabelengroep

Nadat uw variabelegroep is gekoppeld en inkomende toegang is geconfigureerd, gebruikt u de volgende pijplijn om uw privé-sleutelkluis te raadplegen en het opgehaalde geheim te kopiëren. Azure-pipelines gebruikt het openbare IP-adres om de sleutelkluis uit een variabelegroep te raadplegen, dus zorg ervoor dat u inkomende toegang hebt geconfigureerd voordat u de pijplijn uitvoert.

variables:
-  group: mySecret-VG

steps:
- task: CmdLine@2
  inputs:
    script: 'echo $(mySecret) > secret.txt'

- task: CopyFiles@2
  inputs:
    Contents: secret.txt
    targetFolder: '$(Build.ArtifactStagingDirectory)'

- task: PublishBuildArtifacts@1
  inputs:
    PathtoPublish: '$(Build.ArtifactStagingDirectory)'
    ArtifactName: 'drop'
    publishLocation: 'Container'

Alternatieve methode: het IP-adres van de door Microsoft gehoste agent dynamisch toestaan

Bij deze benadering vraagt de pijplijn bij het opstarten het IP-adres op van de door Microsoft gehoste agent, voegt dit toe aan de lijst met toegestane adressen in de firewall van de sleutelkluis, voert de taken voor de sleutelkluis uit en verwijdert vervolgens het IP-adres voordat de pijplijn wordt afgerond.

- task: AzurePowerShell@5
  displayName: 'Allow agent IP'
  inputs:
    azureSubscription: 'YOUR_SERVICE_CONNECTION_NAME'
    azurePowerShellVersion: LatestVersion
    ScriptType: InlineScript
    Inline: |
     $ip = (Invoke-WebRequest -uri "http://ifconfig.me/ip").Content
     Add-AzKeyVaultNetworkRule -VaultName "YOUR_KEY_VAULT_NAME" -ResourceGroupName "YOUR_RESOURCE_GROUP_NAME" -IpAddressRange $ip
     echo "##vso[task.setvariable variable=agentIP]ip"

- task: AzureKeyVault@2
  inputs:
    azureSubscription: 'YOUR_SERVICE_CONNECTION_NAME'
    KeyVaultName: 'YOUR_KEY_VAULT_NAME'
    SecretsFilter: '*'
    RunAsPreJob: false

- task: AzurePowerShell@5
  displayName: 'Remove agent IP'
  inputs:
    azureSubscription: 'YOUR_SERVICE_CONNECTION_NAME'
    azurePowerShellVersion: LatestVersion
    ScriptType: InlineScript
    Inline: |
     $ipRange = $env:agentIP + "/32"
     Remove-AzKeyVaultNetworkRule -VaultName "YOUR_KEY_VAULT_NAME" -IpAddressRange $ipRange
  condition: succeededOrFailed()

Toegang tot een privé sleutelkluis vanaf een zelfgehoste agent

Gebruik een zelf-hostende agent (Windows, Linux of Mac) of Virtual Machine Scale Sets agents om toegang te krijgen tot een persoonlijke sleutelkluis vanaf een Azure-pipelines-agent. Door Microsoft gehoste agents vallen, net als andere generieke rekendiensten, niet onder de lijst van Key Vault met trusted services.

Om verbinding te maken met uw privésleutelkluis, configureert u een privé-eindpunt voor line-of-sight-toegang. Dit eindpunt moet routeerbaar zijn en de privé-DNS-naam ervan moet kunnen worden opgelost door de zelf-gehoste pijplijnagent.

Stap 1: Binnenkomende toegang configureren vanuit een zelf-hostende agent

1. Volg de instructies voor het maken van een virtueel netwerk.

2. Gebruik in de Azure portal de zoekbalk boven aan de pagina om uw Azure sleutelkluis te vinden.

3. Selecteer uw sleutelkluis en ga vervolgens naar Instellingen>Netwerken.

4. Selecteer Privé-eindpuntverbindingen en selecteer Maken om een nieuw privé-eindpunt te maken.

   

5. Selecteer de resourcegroep die als host fungeert voor het virtuele netwerk dat u eerder hebt gemaakt. Voer een naam en een netwerkinterfacenaam in voor uw exemplaar en zorg ervoor dat u dezelfde regio selecteert als het virtuele netwerk dat u eerder hebt gemaakt. Kies Volgende.

   

6. Voor Connection-methode selecteert u Verbinding maken met een Azure-resource in mijn directory. Voor Resourcetype kiest u Microsoft.KeyVault/vaults in het vervolgkeuzemenu. Selecteer uw resource in de vervolgkeuzelijst. De subresource van het doel wordt automatisch ingevuld met de waarde vault. Kies Volgende.

   

7. Selecteer op het tabblad Virtual Network het virtual network en subnet dat u eerder hebt gemaakt en laat de rest van de velden standaard staan. Kies Volgende.

8. Accepteer de standaardinstellingen op de tabbladen DNS en Tags . Selecteer Maken op het tabblad Beoordelen en maken.

9. Nadat uw resource is geïmplementeerd, gaat u naar uw sleutelkluis en selecteert u Instellingen>Netwerken>Verbindingen met privé-eindpunten. Uw privé-eindpunt moet worden vermeld met de verbindingsstatusGoedgekeurd. Als u een koppeling naar een Azure resource in een andere map hebt gemaakt, moet u wachten totdat de resource-eigenaar uw verbindingsaanvraag goedkeurt.

   

Stap 2: uw virtuele netwerk toestaan

Wanneer het privé-eindpunt is geconfigureerd, moet u in de firewallinstellingen van de Key Vault het virtuele netwerk waarop uw zelf-gehoste agent wordt gehost, toestaan.

1. Ga naar de Azure-portal en zoek uw Azure sleutelkluis.

2. Selecteer Instellingen>netwerken en zorg ervoor dat u zich op het tabblad Firewalls en virtuele netwerken bevindt.

3. Selecteer Een virtueel netwerk toevoegen>Bestaande virtuele netwerken toevoegen.

4. Selecteer uw abonnement in de vervolgkeuzelijst, selecteer het virtuele netwerk dat u eerder hebt gemaakt en selecteer vervolgens uw subnetten.

5. Selecteer Toevoegen en schuif naar de onderkant van de pagina en selecteer Toepassen om uw wijzigingen op te slaan.

   

Stap 3: Een privé-sleutelkluis opvragen vanuit een zelfgehoste agent

Wanneer toegang via het virtuele netwerk is toegestaan, gebruikt u de volgende pipeline om via de gekoppelde variabelegroep vanuit een zelf-gehoste agent een query uit te voeren op de privé-Key Vault:

pool: Self-hosted-pool

variables:
  group: mySecret-VG

steps:
- task: CmdLine@2
  inputs:
    script: 'echo $(mySecret) > secret.txt'

- task: CopyFiles@2
  inputs:
    Contents: secret.txt
    targetFolder: '$(Build.ArtifactStagingDirectory)'

- task: PublishBuildArtifacts@1
  inputs:
    PathtoPublish: '$(Build.ArtifactStagingDirectory)'
    ArtifactName: 'drop'
    publishLocation: 'Container'

Als u geen Azure DevOps binnenkomende toegang wilt verlenen tot uw persoonlijke sleutelkluis, gebruikt u de taak AzureKeyVault om rechtstreeks een query uit te voeren op de sleutelkluis. Zorg er in dit geval voor dat het virtuele netwerk dat als host fungeert voor uw zelf-hostende agent, is toegestaan in de firewallinstellingen van de sleutelkluis.

pool: Self-hosted-pool

steps:
- task: AzureKeyVault@2
  inputs:
    azureSubscription: '$(SERVICE_CONNECTION_NAME)'
    keyVaultName: $(KEY_VAULT_NAME)
    SecretsFilter: '*'

- task: CmdLine@2
  inputs:
    script: 'echo $(mySecret) > secret.txt'

- task: CopyFiles@2
  inputs:
    Contents: secret.txt
    targetFolder: '$(Build.ArtifactStagingDirectory)'

- task: PublishBuildArtifacts@1
  inputs:
    PathtoPublish: '$(Build.ArtifactStagingDirectory)'
    ArtifactName: 'drop'
    publishLocation: 'Container'