Accedere a una cassaforte di chiavi privata dalla tua pipeline

Accedere a un archivio di chiavi private da Azure DevOps

Questa sezione descrive due metodi per accedere a un insieme di credenziali privato da Azure DevOps.

Il primo metodo utilizza gruppi di variabili per collegare e mappare i segreti dal tuo Key Vault, quindi configura l'accesso in entrata consentendo gli intervalli di IP statici. Azure Pipelines usa l'indirizzo IP pubblico di Azure DevOps quando interroga un insieme di credenziali da un gruppo di variabili, quindi è necessario consentire tali intervalli IP nel firewall dell'insieme di credenziali.

Il secondo metodo aggiunge dinamicamente l'indirizzo IP dell'agente ospitato da Microsoft all'elenco degli indirizzi IP consentiti del firewall dell'insieme di credenziali all'inizio della pipeline, interroga l'insieme di credenziali e infine rimuove l'IP. Questo metodo è solo a scopo dimostrativo e non è consigliato per l'uso in produzione.

Passaggio 1: Mappare i segreti dell'insieme di credenziali del Key Vault con un gruppo di variabili

Passaggio 2: Configurare l'accesso in ingresso da Azure DevOps

Dopo aver configurato il gruppo di variabili, consenti l'accesso in entrata da Azure DevOps all'insieme di credenziali delle chiavi aggiungendo gli intervalli IP statici per l'area geografica della tua organizzazione.

1. Accedi alla tua organizzazione di Azure DevOps.

2. Seleziona Impostazioni organizzazione.

3. Passare a Panoramica per trovare la posizione geografica.

   

4. Trova gli intervalli IP V4 per area geografica.

   Importante

   Per le connessioni in ingresso negli Stati Uniti, assicurarsi di aggiungere gli intervalli IP per tutte le regioni degli Stati Uniti.

5. Configura il Key Vault per consentire l'accesso da intervalli IP statici.

Passaggio 3: Eseguire query su un vault delle chiavi privato con un gruppo di variabili

Dopo aver collegato il gruppo di variabili e configurato l'accesso in entrata, usa la pipeline seguente per interrogare il tuo insieme di credenziali privato e copiare il segreto recuperato. Azure Pipelines usa il proprio indirizzo IP pubblico per interrogare il Key Vault da un gruppo di variabili, quindi assicurarsi di aver configurato l'accesso in ingresso prima di eseguire la pipeline.

variables:
-  group: mySecret-VG

steps:
- task: CmdLine@2
  inputs:
    script: 'echo $(mySecret) > secret.txt'

- task: CopyFiles@2
  inputs:
    Contents: secret.txt
    targetFolder: '$(Build.ArtifactStagingDirectory)'

- task: PublishBuildArtifacts@1
  inputs:
    PathtoPublish: '$(Build.ArtifactStagingDirectory)'
    ArtifactName: 'drop'
    publishLocation: 'Container'

Metodo alternativo: autorizzare dinamicamente l'IP dell'agente ospitato da Microsoft

In questo approccio, la pipeline recupera all'avvio l'indirizzo IP dell'agente ospitato da Microsoft, lo aggiunge all'elenco degli indirizzi consentiti del firewall dell'insieme di credenziali, esegue le attività dell'insieme di credenziali e quindi rimuove l'indirizzo IP prima che la pipeline termini.

- task: AzurePowerShell@5
  displayName: 'Allow agent IP'
  inputs:
    azureSubscription: 'YOUR_SERVICE_CONNECTION_NAME'
    azurePowerShellVersion: LatestVersion
    ScriptType: InlineScript
    Inline: |
     $ip = (Invoke-WebRequest -uri "http://ifconfig.me/ip").Content
     Add-AzKeyVaultNetworkRule -VaultName "YOUR_KEY_VAULT_NAME" -ResourceGroupName "YOUR_RESOURCE_GROUP_NAME" -IpAddressRange $ip
     echo "##vso[task.setvariable variable=agentIP]ip"

- task: AzureKeyVault@2
  inputs:
    azureSubscription: 'YOUR_SERVICE_CONNECTION_NAME'
    KeyVaultName: 'YOUR_KEY_VAULT_NAME'
    SecretsFilter: '*'
    RunAsPreJob: false

- task: AzurePowerShell@5
  displayName: 'Remove agent IP'
  inputs:
    azureSubscription: 'YOUR_SERVICE_CONNECTION_NAME'
    azurePowerShellVersion: LatestVersion
    ScriptType: InlineScript
    Inline: |
     $ipRange = $env:agentIP + "/32"
     Remove-AzKeyVaultNetworkRule -VaultName "YOUR_KEY_VAULT_NAME" -IpAddressRange $ipRange
  condition: succeededOrFailed()

Accedere a un archivio di chiavi privato da un agente autogestito

Per accedere a un archivio privato di chiavi tramite un agente di Azure Pipelines, utilizzare un agente self-hosted (Windows, Linux o Mac) oppure agenti di set di scalabilità di macchine virtuali. Gli agenti ospitati da Microsoft, come altri servizi di calcolo generici, non sono inclusi nell'elenco dei servizi attendibili di Key Vault.

Per stabilire la connettività con il tuo insieme di credenziali delle chiavi privato, configura un endpoint privato per l'accesso line-of-sight. Questo endpoint deve essere instradabile e il relativo nome DNS privato deve poter essere risolto dall'agente self-hosted della pipeline.

Passaggio 1: Configurare l'accesso in entrata da un agente ospitato in locale

1. Seguire le istruzioni per creare una rete virtuale.

2. Nel portale Azure, utilizza la barra di ricerca nella parte superiore della pagina per trovare il tuo servizio Azure Key Vault.

3. Selezionare l'insieme di credenziali delle chiavi e quindi passare a Impostazioni>rete.

4. Selezionare Connessioni endpoint privato e quindi selezionare Crea per creare un nuovo endpoint privato.

   

5. Selezionare il gruppo di risorse che ospita la rete virtuale creata in precedenza. Immettere un nome e un nome di interfaccia di rete per l'istanza e assicurarsi di selezionare la stessa area della rete virtuale creata in precedenza. Seleziona Avanti.

   

6. Per il metodo di connessione, selezionare Connetti a una risorsa di Azure nella mia directory. Per Tipo di risorsa scegliere Microsoft. KeyVault/vaults dal menu a discesa. Selezionare la risorsa dal menu a discesa. La sotto-risorsa di destinazione viene popolata automaticamente con il valore vault. Seleziona Avanti.

   

7. Nella scheda Rete virtuale selezionare il virtual network e la subnet creati in precedenza e lasciare il resto dei campi come predefinito. Seleziona Avanti.

8. Accettare le impostazioni predefinite nelle schede DNS e Tag . Nella scheda Rivedi e crea selezionare Crea.

9. Dopo aver distribuito la risorsa, passare al Key Vault e selezionare Impostazioni>Rete>Connessioni endpoint private. L'endpoint privato deve essere elencato con stato Connessioneapprovato. Se si collega a una risorsa Azure in una directory diversa, è necessario attendere che il proprietario della risorsa approvi la richiesta di connessione.

   

Passaggio 2: Consentire la rete virtuale

Dopo aver configurato l'endpoint privato, consenti alla rete virtuale che ospita l'agente ospitato autonomamente nelle impostazioni del firewall dell'insieme di credenziali.

1. Vai al portale di Azure, quindi individua il tuo Azure Key Vault.

2. Selezionare Impostazioni>Rete, e assicurarsi di essere nella scheda Firewall e reti virtuali.

3. Selezionare Aggiungi una rete>virtuale Aggiungi reti virtuali esistenti.

4. Selezionare la sottoscrizione dal menu a discesa, selezionare la rete virtuale creata in precedenza e quindi selezionare le subnet.

5. Selezionare Aggiungi e quindi scorrere fino alla fine della pagina e selezionare Applica per salvare le modifiche.

   

Passaggio 3: Eseguire query su un insieme di credenziali delle chiavi privato da un agente self-hosted

Con la rete virtuale abilitata, utilizza la pipeline seguente per interrogare il Key Vault privato tramite il gruppo di variabili collegato da un agente ospitato autonomamente:

pool: Self-hosted-pool

variables:
  group: mySecret-VG

steps:
- task: CmdLine@2
  inputs:
    script: 'echo $(mySecret) > secret.txt'

- task: CopyFiles@2
  inputs:
    Contents: secret.txt
    targetFolder: '$(Build.ArtifactStagingDirectory)'

- task: PublishBuildArtifacts@1
  inputs:
    PathtoPublish: '$(Build.ArtifactStagingDirectory)'
    ArtifactName: 'drop'
    publishLocation: 'Container'

Se non si vuole concedere ad Azure DevOps l'accesso in entrata all'insieme di credenziali delle chiavi privato, usare l'attività AzureKeyVault per interrogare direttamente l'insieme di credenziali delle chiavi. In questo caso, verificare che la rete virtuale che ospita l'agente ospitato autonomamente sia consentita nelle impostazioni del firewall dell'insieme di credenziali delle chiavi.

pool: Self-hosted-pool

steps:
- task: AzureKeyVault@2
  inputs:
    azureSubscription: '$(SERVICE_CONNECTION_NAME)'
    keyVaultName: $(KEY_VAULT_NAME)
    SecretsFilter: '*'

- task: CmdLine@2
  inputs:
    script: 'echo $(mySecret) > secret.txt'

- task: CopyFiles@2
  inputs:
    Contents: secret.txt
    targetFolder: '$(Build.ArtifactStagingDirectory)'

- task: PublishBuildArtifacts@1
  inputs:
    PathtoPublish: '$(Build.ArtifactStagingDirectory)'
    ArtifactName: 'drop'
    publishLocation: 'Container'