Få åtkomst till ett privat nyckelvalv från din pipeline

Få åtkomst till ett privat nyckelvalv från Azure DevOps

Det här avsnittet beskriver två metoder för att komma åt ett privat nyckelvalv från Azure DevOps.

Den första metoden använder variabelgrupper för att länka och mappa hemligheter från ditt nyckelvalv, följt av att konfigurera inkommande åtkomst genom att tillåta statiska IP-intervall. Azure-pipelines använder den offentliga IP-adressen Azure DevOps när du kör frågor mot ett nyckelvalv från en variabelgrupp, så du måste tillåta dessa IP-intervall i nyckelvalvsbrandväggen.

Den andra metoden lägger dynamiskt till IP-adressen för den Microsoft-värdbaserade agenten i nyckelvalvets brandväggs lista över tillåtna IP-adresser i början av pipelinen, gör sedan en fråga mot nyckelvalvet och tar slutligen bort IP-adressen. Den här metoden är endast i demonstrationssyfte och rekommenderas inte för produktionsanvändning.

Steg 1: Mappa nyckelvalvshemligheter med en variabelgrupp

Steg 2: Konfigurera inkommande åtkomst från Azure DevOps

När du har konfigurerat variabelgruppen tillåter du inkommande åtkomst från Azure DevOps till ditt nyckelvalv genom att lägga till statiska IP-intervall för organisationens geografiska region.

1. Logga in på din Azure DevOps-organisation.

2. Välj Organisationsinställningar.

3. Gå till Översikt för att hitta den geografiska platsen.

   

4. Hitta ditt geografiska IP V4-intervall.

   Viktigt!

   För inkommande anslutningar till USA ska du lägga till IP-intervall för alla amerikanska regioner.

5. Konfigurera ditt nyckelvalv för att tillåta åtkomst från statiska IP-intervall.

Steg 3: Fråga ett privat nyckelvalv med en variabelgrupp

När din variabelgrupp är länkad och ingående åtkomst har konfigurerats använder du följande pipeline för att hämta hemligheten från ditt privata nyckelvalv och kopiera den. Azure-pipelines använder sin offentliga IP-adress för att få åtkomst till nyckelvalvet via en variabelgrupp, så se till att du har konfigurerat inkommande åtkomst innan du kör pipelinen.

variables:
-  group: mySecret-VG

steps:
- task: CmdLine@2
  inputs:
    script: 'echo $(mySecret) > secret.txt'

- task: CopyFiles@2
  inputs:
    Contents: secret.txt
    targetFolder: '$(Build.ArtifactStagingDirectory)'

- task: PublishBuildArtifacts@1
  inputs:
    PathtoPublish: '$(Build.ArtifactStagingDirectory)'
    ArtifactName: 'drop'
    publishLocation: 'Container'

Alternativ metod: Tillåt IP-adress för Microsoft-värdad agent dynamiskt

I den här metoden frågar pipelinen den Microsoft värdbaserade agent-IP-adressen vid start, lägger till den i listan över tillåtna nyckelvalvsbrandväggar, kör nyckelvalvsaktiviteterna och tar sedan bort IP-adressen innan pipelinen är klar.

- task: AzurePowerShell@5
  displayName: 'Allow agent IP'
  inputs:
    azureSubscription: 'YOUR_SERVICE_CONNECTION_NAME'
    azurePowerShellVersion: LatestVersion
    ScriptType: InlineScript
    Inline: |
     $ip = (Invoke-WebRequest -uri "http://ifconfig.me/ip").Content
     Add-AzKeyVaultNetworkRule -VaultName "YOUR_KEY_VAULT_NAME" -ResourceGroupName "YOUR_RESOURCE_GROUP_NAME" -IpAddressRange $ip
     echo "##vso[task.setvariable variable=agentIP]ip"

- task: AzureKeyVault@2
  inputs:
    azureSubscription: 'YOUR_SERVICE_CONNECTION_NAME'
    KeyVaultName: 'YOUR_KEY_VAULT_NAME'
    SecretsFilter: '*'
    RunAsPreJob: false

- task: AzurePowerShell@5
  displayName: 'Remove agent IP'
  inputs:
    azureSubscription: 'YOUR_SERVICE_CONNECTION_NAME'
    azurePowerShellVersion: LatestVersion
    ScriptType: InlineScript
    Inline: |
     $ipRange = $env:agentIP + "/32"
     Remove-AzKeyVaultNetworkRule -VaultName "YOUR_KEY_VAULT_NAME" -IpAddressRange $ipRange
  condition: succeededOrFailed()

Få åtkomst till ett privat nyckelvalv från en lokalt installerad agent

Om du vill komma åt ett privat nyckelvalv från en Azure-pipelines agent använder du antingen en lokalt installerad agent (Windows, Linux eller Mac) eller Virtual Machine Scale Sets agenter. Microsoft-hostade agenter ingår, liksom andra generella beräkningstjänster, inte i Key Vaults lista över betrodda tjänster.

Om du vill upprätta en anslutning till ditt privata nyckelvalv konfigurerar du en privat slutpunkt för åtkomst inom synhåll . Den här slutpunkten måste vara dirigerbar och dess privata DNS-namn måste kunna matchas från den lokalt installerade pipelineagenten.

Steg 1: Konfigurera inkommande åtkomst från en lokalt installerad agent

1. Följ anvisningarna för att skapa ett virtuellt nätverk.

2. I Azure-portalen använder du sökfältet överst på sidan för att hitta ditt Azure nyckelvalv.

3. Välj ditt nyckelvalv och gå sedan till Inställningar>Nätverk.

4. Välj Privata slutpunktsanslutningar och välj sedan Skapa för att skapa en ny privat slutpunkt.

   

5. Välj den resursgrupp som är värd för det virtuella nätverk som du skapade tidigare. Ange ett namn och ett nätverksgränssnittsnamn för din instans och se till att du väljer samma region som det virtuella nätverk som du skapade tidigare. Klicka på Nästa.

   

6. För metoden Connection väljer du Anslut till en Azure resurs i min katalog. För Resource type väljer du Microsoft. KeyVault/vaults från den nedrullningsbara menyn. Välj din resurs på den nedrullningsbara menyn. Målunderresurs fylls i automatiskt med värdet valv. Klicka på Nästa.

   

7. På fliken Virtual Network väljer du virtual network och undernätet som du skapade tidigare och lämnar resten av fälten som standard. Klicka på Nästa.

8. Acceptera standardinställningarna på flikarna DNS och Taggar . På fliken Granska + skapa väljer du Skapa.

9. När resursen har distribuerats går du till nyckelvalvet och väljer Inställningar> Privataslutpunktsanslutningar för>. Din privata slutpunkt bör visas med anslutningsstatus som Godkänd. Om du länkar till en Azure resurs i en annan katalog måste du vänta tills resursägaren godkänner anslutningsbegäran.

   

Steg 2: Tillåt ditt virtuella nätverk

När den privata slutpunkten har konfigurerats tillåter du det virtuella nätverk som är värd för din lokalt installerad agent i brandväggsinställningarna för nyckelvalvet.

1. Gå till Azure-portalen och leta upp ditt Azure nyckelvalv.

2. Välj Inställningar>Nätverk och se till att du är på fliken Brandväggar och virtuella nätverk .

3. Välj Lägg till ett virtuellt nätverk>Lägg till befintliga virtuella nätverk.

4. Välj din prenumeration på den nedrullningsbara menyn, välj det virtuella nätverk som du skapade tidigare och välj sedan dina undernät.

5. Välj Lägg till och bläddra sedan längst ned på sidan och välj Använd för att spara ändringarna.

   

Steg 3: Hämta från ett privat Key Vault via en lokalt installerad agent

Med det virtuella nätverket tillåtet använder du följande pipeline för att fråga det privata nyckelvalvet via den länkade variabelgruppen från en lokalt installerad agent:

pool: Self-hosted-pool

variables:
  group: mySecret-VG

steps:
- task: CmdLine@2
  inputs:
    script: 'echo $(mySecret) > secret.txt'

- task: CopyFiles@2
  inputs:
    Contents: secret.txt
    targetFolder: '$(Build.ArtifactStagingDirectory)'

- task: PublishBuildArtifacts@1
  inputs:
    PathtoPublish: '$(Build.ArtifactStagingDirectory)'
    ArtifactName: 'drop'
    publishLocation: 'Container'

Om du inte vill bevilja Azure DevOps inkommande åtkomst till ditt privata nyckelvalv använder du uppgiften AzureKeyVault för att fråga nyckelvalvet direkt. I det här fallet kontrollerar du att det virtuella nätverk som är värd för din lokala agent tillåts i inställningarna för key vault-brandväggen.

pool: Self-hosted-pool

steps:
- task: AzureKeyVault@2
  inputs:
    azureSubscription: '$(SERVICE_CONNECTION_NAME)'
    keyVaultName: $(KEY_VAULT_NAME)
    SecretsFilter: '*'

- task: CmdLine@2
  inputs:
    script: 'echo $(mySecret) > secret.txt'

- task: CopyFiles@2
  inputs:
    Contents: secret.txt
    targetFolder: '$(Build.ArtifactStagingDirectory)'

- task: PublishBuildArtifacts@1
  inputs:
    PathtoPublish: '$(Build.ArtifactStagingDirectory)'
    ArtifactName: 'drop'
    publishLocation: 'Container'