Sichere Verwendung von Pipelinevariablen und -parametern

Azure DevOps Services | Azure DevOps Server | Azure DevOps Server 2022

In Azure-Pipelines können Sie Es Benutzern ermöglichen, die Pipelineausführung anzupassen, indem Sie ihre Eingaben mit Variablen und Parametern erfassen. Das Akzeptieren von Benutzereingaben kann jedoch auch Sicherheitsrisiken darstellen, wenn sie nicht ordnungsgemäß behandelt werden. In diesem Artikel erfahren Sie, wie Sie Variablen und Parameter in Ihrer Pipeline sicher verwenden.

Dieser Artikel ist Teil einer Reihe, mit der Sie Sicherheitsmaßnahmen für Azure-Pipelines implementieren können. Weitere Informationen finden Sie unter Secure Azure Pipelines.

Voraussetzungen

Variablen

Variablen sind eine bequeme Möglichkeit, benutzereingaben im Voraus zu sammeln und die Datenübertragung zwischen Pipelineschritten zu erleichtern. Variablen, die in YAML-Aufgaben oder Skripten definiert sind, sind jedoch standardmäßig lese-schreibbar. Werte, die in vorgelagerten Schritten festgelegt werden, können nachgeschaltete Werte unerwartet ändern.

Der folgende Skriptausschnitt ruft z. B. eine Variable mit dem Namen MyConfig.

msbuild.exe myproj.proj -property:Configuration=$(MyConfig)

Wenn ein vorheriger Schritt den MyConfig Variablenwert Debug & deltree /y c:auf festgelegt hat, löscht das Ausführen dieses Skripts den Inhalt des Build-Agents und kann zu unbeabsichtigten Folgen führen. In diesem Beispiel wird die potenzielle Gefahr solcher Einstellungen hervorgehoben.

Systemvariablen wie Build.SourcesDirectory und Aufgabenausgabevariablen sind stets nur-lesend. Sie können eine variable, die in einem Skript oder einer YAML-Aufgabe erstellt wurde, auch als schreibgeschützt festlegen, indem Sie das isReadonly=true Flag im Protokollierungsbefehl übergeben.

In einer YAML-Variablendefinition können Sie eine schreibgeschützte Variable mithilfe des spezifischen readonly Schlüssels angeben:

variables:
- name: myReadOnlyVar
  value: myValue
  readonly: true

Verwenden Sie besondere Vorsicht bei geheimen Variablen. Die empfohlenen Methoden zum Festlegen geheimer Variablen umfassen die Verwendung der Benutzeroberfläche, das Erstellen einer Variablengruppe oder die Verwendung einer Variablengruppe, die aus Azure Key Vault stammt. Weitere Informationen finden Sie unter Festlegen geheimer Variablen.

Warteschlangenzeitvariablen

Wenn Sie eine Variable in der Azure Pipelines-Benutzeroberfläche definieren, können Sie auswählen, ob Benutzer den Wert während der Pipelineausführung außer Kraft setzen können. Variablen, mit denen Benutzer ihren Wert zur Warteschlangenzeit festlegen können, werden als Warteschlangenzeitvariablen bezeichnet und können nur in der Benutzeroberfläche von Azure Pipelines Variables definiert werden.

Im Editor der Classic-Pipeline definieren Sie eine zum Zeitpunkt der Warteschlange festlegbare Variable, indem Sie das Kontrollkästchen für „Zum Zeitpunkt der Warteschlange festlegbar“ aktivieren. In YAML-Pipelines legen Sie sie fest, indem Sie "Zulassen" auswählen, dass Benutzer diesen Wert beim Ausführen dieser Pipeline außer Kraft setzen.

Wenn ein Benutzer die Pipeline manuell ausführt, kann er Variablen für die Warteschlangenzeit auswählen und die Werte ändern.

{
  "$id": "1",
  "innerException": null,
  "message": "You can't set the following variables (BuildConfiguration). If you want to be able to set these variables, then edit the pipeline and select Settable at queue time on the variables tab of the pipeline editor.",
  "typeName": "Microsoft.Azure.Pipelines.WebApi.PipelineValidationException, Microsoft.Azure.Pipelines.WebApi",
  "typeKey": "PipelineValidationException",
  "errorCode": 0,
  "eventId": 3000
}

Parameter

Eine ausgeführte Pipeline kann im Gegensatz zu Variablen keine Pipelineparameter ändern. Parameter haben Datentypen wie number und string und können auf spezifische Wertemengen beschränkt werden. Diese Einschränkung ist nützlich, wenn ein vom Benutzer konfigurierbarer Aspekt der Pipeline nur Werte aus einer vordefinierten Liste akzeptieren sollte, um sicherzustellen, dass die Pipeline keine beliebigen Daten akzeptiert.

Aktivierung der Validierung von Shell-Aufgabenargumenten

Pipelines können auf Aufgaben verweisen, die innerhalb der Pipeline ausgeführt werden. Einige Aufgaben enthalten einen arguments Parameter, mit dem Benutzer weitere Optionen für die Aufgabe angeben können.

Durch Anwenden der Überprüfungseinstellung "Shellaufgaben aktivieren" werden arguments Parameter für integrierte Shellaufgaben überprüft, um nach Eingaben zu suchen, die Befehle in Skripts einfügen können. Die Überprüfung stellt sicher, dass die Shell Zeichen wie Semikolons, Anführungszeichen und Klammern in den folgenden Pipelineaufgaben korrekt ausführt.

• PowerShell
• BatchScript
• Bash
• SSH
• AzureFileCopy (Azure-Dateikopie)
• WindowsComputerDateiKopieren
• PowerShellOnTargetMachines
• SqlAzureDacpacDeployment
• SqlDacpacDeploymentOnMachineGroup
• AzureCLI
• AzurePowerShell
• ServiceFabricPowerShell

Sie können die Option Validierung von Shell-Aufgaben-Argumenten aktivieren auf Organisationsebene unter Organisationseinstellungen>Pipelines>Einstellungen oder auf Projektebene unter Projekteinstellungen>Pipelines>Einstellungen anwenden. Wenn die Einstellung auf Organisationsebene aktiviert ist, gilt sie für alle Projekte in der Organisation und kann nicht auf Projektebene deaktiviert werden.

Wenn diese Einstellung aktiviert ist, löst jedes Überprüfungsproblem im Zusammenhang mit einem arguments Parameter die folgende Fehlermeldung aus:

Detected characters in arguments that may not be executed correctly by the shell. Please escape special characters using backtick (`).

Um das Problem zu beheben, passen Sie das Argument an, indem Sie Sonderzeichen wie in der Fehlernachricht angegeben mit Maskierungszeichen maskieren.

Verwandte Inhalte

• Definieren von Variablen
• Festlegen geheimer Variablen
• Verwenden vordefinierter Variablen
• Verwenden von Laufzeitparametern
• Verwenden von Vorlagentypen