Verwenden von Azure Key Vault Secrets in Ihrer Pipeline

1. Melden Sie sich beim Azure-Portal an, und wählen Sie dann "Ressource erstellen" aus.

2. Wählen Sie unter Key VaultCreate aus, um eine neue Azure key vault zu erstellen.

3. Wählen Sie Ihr Abonnement im Dropdownmenü aus, und wählen Sie dann eine vorhandene Ressourcengruppe aus, oder erstellen Sie eine neue. Geben Sie einen Schlüsseltresornamen ein, wählen Sie eine Region aus, wählen Sie ein Preisniveau und dann "Weiter" aus, wenn Sie weitere Eigenschaften konfigurieren möchten. Wählen Sie andernfalls " Überprüfen+ erstellen " aus, um die Standardeinstellungen beizubehalten.

4. Wählen Sie nach Abschluss der Bereitstellung die Option Zu Ressource wechseln.

1. Legen Sie zunächst Ihre Standardregion und Ihr Azure-Abonnement fest:

   • Standardabonnement einrichten:

     az account set --subscription <your_subscription_name_or_subscription_ID>
     

   • Standardregion einstellen:

     az config set defaults.location=<your_region>
     

2. Erstellen Sie eine neue Ressourcengruppe, um Ihren Azure Key Vault zu hosten. Eine Ressourcengruppe ist ein Container, der verwandte Ressourcen für eine Azure-Lösung enthält:

   az group create --name <your-resource-group>
   

3. Erstellen Sie einen neuen Azure Key Vault:

   az keyvault create \
     --name <your-key-vault-name> \
     --resource-group <your-resource-group>
   

Erstellen einer benutzerseitig zugewiesenen verwalteten Identität

1. Melden Sie sich beim portal Azure an, und suchen Sie dann in der Suchleiste nach dem Dienst Managed Identities.

2. Wählen Sie "Erstellen" aus, und füllen Sie dann die erforderlichen Felder aus:

   • Abonnement: Wählen Sie Ihr Abonnement im Dropdownmenü aus.
   • Ressourcengruppe: Wählen Sie eine vorhandene Ressourcengruppe aus, oder erstellen Sie eine neue.
   • Region: Wählen Sie im Dropdownmenü eine Region aus.
   • Name: Geben Sie einen Namen für Ihre vom Benutzer zugewiesene verwaltete Identität ein.

3. Wählen Sie "Überprüfen" und "Erstellen" aus, nachdem Sie fertig sind.

4. Wählen Sie nach Abschluss der Bereitstellung die Option Zu Ressource wechseln. Kopieren Sie das Abonnement und die Client-ID, da Sie sie in den nächsten Schritten benötigen.

5. Wechseln Sie zu Einstellungen>Eigenschaften, und kopieren Sie Ihre Mandanten-ID der verwalteten Identität, um sie später zu verwenden.

Zugriffsrichtlinien für den Schlüsseltresor einrichten

1. Wechseln Sie zum Azure-Portal, und suchen Sie mithilfe der Suchleiste den zuvor erstellten Key Vault.

2. Wählen Sie Access-Richtlinien und dann "Erstellen" aus, um eine neue Richtlinie hinzuzufügen.

3. Aktivieren Sie unter "Geheime Berechtigungen" die Kontrollkästchen " Abrufen " und "Liste" .

4. Wählen Sie "Weiter" aus, und fügen Sie dann die Client-ID der verwalteten Identität, die Sie zuvor erstellt haben, in die Suchleiste ein.

5. Wählen Sie Ihre verwaltete Identität aus, wählen Sie "Weiter" und dann erneut "Weiter" aus.

6. Überprüfen Sie Ihre neue Richtlinie, und wählen Sie dann "Erstellen" aus, nachdem Sie fertig sind.

Erstellen einer Dienstverbindung

1. Melden Sie sich bei Ihrer Azure DevOps-Organisation an, und wechseln Sie dann zu Ihrem Projekt.

2. Wählen Sie "Project settings>Service connections" und dann "Neue Dienstverbindung" aus.

3. Wählen Sie Azure Resource Manager und dann Weiter aus.

4. Wählen Sie unter "Identitätstyp" im Dropdownmenü "Verwaltete Identität " aus.

5. Füllen Sie für Schritt 1: Details zur verwalteten Identität die Felder aus:

   • Abonnement für verwaltete Identität: Wählen Sie das Abonnement aus, das Ihre verwaltete Identität enthält.
   • Ressourcengruppe für verwaltete Identität: Wählen Sie die Ressourcengruppe aus, in der Ihre verwaltete Identität gehostet wird.
   • Verwaltete Identität: Wählen Sie Ihre verwaltete Identität im Dropdownmenü aus.

6. Füllen Sie für Schritt 2: Azure-Bereich die Felder aus:

   • Bereichsebene für die Dienstverbindung: Abonnement auswählen.
   • Abonnement für Dienstverbindung: Wählen Sie das Abonnement aus, auf das Ihre verwaltete Identität zugreift.
   • Ressourcengruppe für Dienstverbindung: (Optional) Geben Sie dieses Element an, wenn Sie den Zugriff auf eine bestimmte Ressourcengruppe einschränken möchten.

7. Füllen Sie für Schritt 3: Dienstverbindungsdetails die Felder aus:

   • Dienstverbindungsname: Geben Sie einen Namen für Ihre Dienstverbindung ein.
   • Dienstverwaltungsreferenz: (Optional) Schließen Sie Kontextinformationen aus einer ITSM-Datenbank ein.
   • Beschreibung: (Optional) Fügen Sie eine Beschreibung hinzu.

8. Aktivieren Sie unter "Sicherheit" das Kontrollkästchen "Zugriffsberechtigung für alle Pipelines erteilen", damit alle Pipelines diese Dienstverbindung verwenden können. Wenn Sie dieses Kontrollkästchen leer lassen, müssen Sie den Zugriff für jede Pipeline manuell gewähren.

9. Wählen Sie Speichern aus, um die Dienstverbindung zu überprüfen und zu erstellen.

   

Erstellen eines Dienstprinzipals

In diesem Schritt erstellen Sie einen neuen Service principal in Azure, damit Ihre Pipelines auf Azure Key Vault zugreifen können.

1. Wechseln Sie zum portal Azure, und wählen Sie dann im oberen Menü das Symbol >_ aus, um Azure Cloud Shell zu öffnen.

2. Wählen Sie je nach Ihren Wünschen entweder PowerShell oder Bash aus.

3. Führen Sie den folgenden Befehl aus, um einen neuen Dienstprinzipal zu erstellen:

   az ad sp create-for-rbac --name YOUR_SERVICE_PRINCIPAL_NAME
   

4. Nachdem der Befehl ausgeführt wurde, erhalten Sie eine Ausgabe ähnlich dem folgenden Beispiel. Kopieren Sie die Ausgabe, und speichern Sie sie, da sie zum Erstellen einer Dienstverbindung im nächsten Schritt erforderlich ist.

   {
     "appId": "00001111-aaaa-2222-bbbb-3333cccc4444",
     "displayName": "MyServicePrincipal",
     "password": "***********************************",
     "tenant": "aaaabbbb-0000-cccc-1111-dddd2222eeee"
   }
   

Erstellen einer Dienstverbindung

1. Melden Sie sich bei Ihrer Azure DevOps-Organisation an, und wechseln Sie dann zu Ihrem Projekt.

2. Wählen Sie Projekteinstellungen (Project settings) und dann Dienstverbindungen (Service Connections) aus.

3. Wählen Sie Neue Dienstverbindung>Azure Resource Manager und dann Next aus.

4. Wählen Sie Dienstprinzipal (manuell) und dann Weiter aus.

5. Wählen Sie unter "Identitätstyp" die App-Registrierung oder verwaltete Identität (manuell) aus.

6. Wählen Sie unter Anmeldeinformationen die Option Workload-Identitätsverbund.

7. Geben Sie einen Namen für Ihre Dienstverbindung an, und wählen Sie dann "Weiter" aus.

8. Kopieren Sie den Aussteller und die Antragsteller-ID, da Sie sie im nächsten Schritt benötigen.

9. Wählen Sie für EnvironmentAzure Cloud aus. Für den Abonnementbereich wählen Sie Abonnement aus.

10. Geben Sie Ihre Azure Abonnement-ID und den Abonnementnamen ein.

11. Fügen Sie unter Authentifizierung die Dienstprinzipal-Anwendungs-ID (Client) und die Verzeichnis-(Mandanten)-ID Werte ein.

12. Aktivieren Sie im Abschnitt "Sicherheit " das Kontrollkästchen "Zugriffsberechtigung für alle Pipelines erteilen", damit alle Pipelines diese Dienstverbindung verwenden können. Wenn Sie diesen Schritt überspringen, müssen Sie den Zugriff pro Pipeline manuell gewähren.

13. Lassen Sie diese Seite geöffnet. Sie kehren zurück, um den Vorgang abzuschließen, nachdem Sie die Verbundanmeldeinformationen in Azure erstellt und Ihrem Dienstprinzipal Lesezugriff auf Abonnementebene gewährt haben.

    

Erstellen von Verbundanmeldeinformationen in Azure

1. Wechseln Sie zum portal Azure, und verwenden Sie dann die Suchleiste, um Ihren Dienstprinzipal zu finden, indem Sie die Client-ID eingeben. Wählen Sie die entsprechende Anwendung aus den Ergebnissen aus.

2. Wählen Sie unter Verwalten die Option Zertifikate & GeheimnisseFöderierte Anmeldeinformationen aus.

3. Wählen Sie "Anmeldeinformationen hinzufügen" und dann für "Verbundanmeldeinformationsszenario""Andere Aussteller" aus.

4. Fügen Sie im Feld Aussteller den Ausstellerwert ein, den Sie zuvor aus Ihrer Dienstverbindung kopiert haben.

5. Fügen Sie im Feld " Betreffbezeichner " den Betreffbezeichner ein, den Sie zuvor kopiert haben.

6. Geben Sie einen Namen für Ihre Verbundanmeldeinformationen ein, und wählen Sie dann "Hinzufügen" aus, nachdem Sie fertig sind.

   

Hinzufügen einer Rollenzuweisung zu Ihrem Abonnement

Bevor Sie die Verbindung verifizieren können, müssen Sie dem Dienstprinzipal Lesezugriff auf der Abonnementebene gewähren:

1. Öffnen Sie das Azure-Portal.

2. Wählen Sie unter Azure-Dienste"Abonnements" aus, und suchen Sie dann Ihr Abonnement, und wählen Sie es aus.

3. Wählen Sie Zugriffssteuerung (IAM) und anschließend Hinzufügen>Rollenzuweisung hinzufügen aus.

4. Wählen Sie auf der Registerkarte " Rolle " die Option " Reader" und dann "Weiter" aus.

5. Wählen Sie Benutzer, Gruppe oder Dienstprinzipal und dann Mitglieder auswählen aus.

6. Fügen Sie in der Suchleiste die Objekt-ID des Dienstprinzipals ein, wählen Sie sie aus, und klicken Sie dann auf Auswählen.

7. Wählen Sie Überprüfen + zuweisen, überprüfen Sie Ihre Einstellungen, und wählen Sie dann zur Bestätigung erneut Überprüfen + zuweisen.

8. Nachdem die Rollenzuweisung hinzugefügt wurde, kehren Sie zu Ihrer Dienstverbindung in Azure DevOps zurück, und wählen Sie Verify and Save aus, um Die Dienstverbindung zu speichern.

Zugriffsrichtlinien für den Schlüsseltresor konfigurieren

1. Wechseln Sie zum Portal Azure, suchen Sie den zuvor erstellten Schlüsseltresor, und wählen Sie dann Access policies aus.

2. Wählen Sie "Erstellen" und fügen Sie dann unter "Geheimnisberechtigungen" sowohl die Berechtigungen "Abrufen" als auch "Liste" hinzu und wählen Sie dann "Weiter" aus.

3. Fügen Sie unter "Prinzipal" die Objekt-ID des Dienstprinzipals ein, wählen Sie sie aus, und wählen Sie dann "Weiter" aus.

4. Wählen Sie "Weiter" erneut aus, überprüfen Sie Ihre Einstellungen, und wählen Sie dann "Speichern " aus, um die neue Richtlinie anzuwenden.