Accede a un depósito de claves privado desde tu pipeline

Acceso a un almacén de claves privado desde Azure DevOps

En esta sección se tratan dos métodos para acceder a un almacén de claves privado desde Azure DevOps.

El primer método utiliza grupos de variables para vincular y asignar los secretos desde el almacén de claves, y después configura el acceso de entrada permitiendo rangos de IP estáticos. Azure Pipelines usa la dirección IP pública Azure DevOps al consultar un almacén de claves desde un grupo de variables, por lo que debe permitir esos intervalos IP en el firewall del almacén de claves.

El segundo método agrega dinámicamente la dirección IP del agente hospedado por Microsoft a la lista de permitidos del firewall del almacén de claves al principio de la canalización, consulta el almacén de claves y finalmente elimina la dirección IP. Este método es solo para fines de demostración y no se recomienda para su uso en producción.

Paso 1: Asociar los secretos del almacén de claves con un grupo de variables

Paso 2: Configurar el acceso entrante desde Azure DevOps

Después de configurar el grupo de variables, permita el acceso entrante desde Azure DevOps al almacén de claves agregando los intervalos IP estáticos para la región geográfica de la organización.

1. Inicie sesión en su organización de Azure DevOps.

2. Seleccione Configuración de la organización.

3. Vaya a Información general para buscar la ubicación geográfica.

   

4. Buscar rangos de IPv4 por ubicación geográfica.

   Importante

   Para las conexiones entrantes desde Estados Unidos, asegúrese de añadir los rangos de IP de todas las regiones de Estados Unidos.

5. Configure el almacén de claves para permitir el acceso desde intervalos IP estáticos.

Paso 3: Consulta de un almacén de claves privado con un grupo de variables

Con el grupo de variables vinculado y el acceso entrante configurado, use la siguiente canalización para consultar el almacén de claves privado y copiar el secreto recuperado. Azure Pipelines usa su dirección IP pública para consultar el almacén de claves desde un grupo de variables, por lo que debe asegurarse de configurar el acceso entrante antes de ejecutar la canalización.

variables:
-  group: mySecret-VG

steps:
- task: CmdLine@2
  inputs:
    script: 'echo $(mySecret) > secret.txt'

- task: CopyFiles@2
  inputs:
    Contents: secret.txt
    targetFolder: '$(Build.ArtifactStagingDirectory)'

- task: PublishBuildArtifacts@1
  inputs:
    PathtoPublish: '$(Build.ArtifactStagingDirectory)'
    ArtifactName: 'drop'
    publishLocation: 'Container'

Método alternativo: permitir dinámicamente la dirección IP del agente hospedado Microsoft

En este enfoque, la canalización consulta la dirección IP del agente hospedado por Microsoft al iniciarse, la agrega a la lista de direcciones IP permitidas del firewall del almacén de claves, ejecuta las tareas del almacén de claves y, a continuación, elimina la dirección IP antes de que finalice la canalización.

- task: AzurePowerShell@5
  displayName: 'Allow agent IP'
  inputs:
    azureSubscription: 'YOUR_SERVICE_CONNECTION_NAME'
    azurePowerShellVersion: LatestVersion
    ScriptType: InlineScript
    Inline: |
     $ip = (Invoke-WebRequest -uri "http://ifconfig.me/ip").Content
     Add-AzKeyVaultNetworkRule -VaultName "YOUR_KEY_VAULT_NAME" -ResourceGroupName "YOUR_RESOURCE_GROUP_NAME" -IpAddressRange $ip
     echo "##vso[task.setvariable variable=agentIP]$ip"

- task: AzureKeyVault@2
  inputs:
    azureSubscription: 'YOUR_SERVICE_CONNECTION_NAME'
    KeyVaultName: 'YOUR_KEY_VAULT_NAME'
    SecretsFilter: '*'
    RunAsPreJob: false

- task: AzurePowerShell@5
  displayName: 'Remove agent IP'
  inputs:
    azureSubscription: 'YOUR_SERVICE_CONNECTION_NAME'
    azurePowerShellVersion: LatestVersion
    ScriptType: InlineScript
    Inline: |
     $ipRange = "$(agentIP)/32"
     Remove-AzKeyVaultNetworkRule -VaultName "YOUR_KEY_VAULT_NAME" -IpAddressRange $ipRange
  condition: succeededOrFailed()

Acceso a un almacén de claves privado desde un agente autohospedado

Para acceder a un almacén de claves privado desde un agente de Azure Pipelines, use un agente autohospedado (Windows, Linux o Mac) o Virtual Machine Scale Sets agentes. Los agentes hospedados por Microsoft, al igual que otros servicios de proceso de uso general, no están incluidos en la lista de servicios de confianza de Key Vault.

Para establecer la conectividad con su almacén de claves privado, configure un punto de conexión privado para el acceso directo. Este punto de conexión debe ser enrutable y su nombre DNS privado debe poder resolverse desde el agente de canalización autohospedado.

Paso 1: Configurar el acceso entrante desde un agente autohospedado

1. Siga las instrucciones para crear una red virtual.

2. En el portal de Azure, use la barra de búsqueda en la parte superior de la página para buscar el almacén de claves de Azure.

3. Seleccione el almacén de claves y, a continuación, vaya a Configuración>Redes.

4. Seleccione Conexiones de punto de conexión privado y, a continuación, seleccione Crear para crear un nuevo punto de conexión privado.

   

5. Seleccione el grupo de recursos que hospeda la red virtual que creó anteriormente. Escriba un nombre y un nombre de interfaz de red para la instancia y asegúrese de seleccionar la misma región que la red virtual que creó anteriormente. Seleccione Siguiente.

   

6. Para Método de conexión, seleccione Conectar a un recurso de Azure en mi directorio. En Tipo de recurso, elija Microsoft. KeyVault/vaults en el menú desplegable. Seleccione el recurso en el menú desplegable. Subrecurso de destino se rellena automáticamente con el valor vault. Seleccione Siguiente.

   

7. En la pestaña Virtual Network, seleccione el virtual network y la subred que creó anteriormente y deje el resto de los campos como predeterminado. Seleccione Siguiente.

8. Acepte la configuración predeterminada en las pestañas DNS y Etiquetas . En la pestaña Revisar y crear , seleccione Crear.

9. Una vez implementado su recurso, vaya a su almacén de claves y seleccione Configuración>Redes>Conexiones de punto de conexión privado. El punto de conexión privado debe aparecer con el estado de conexión como Aprobado. Si vincula a un recurso de Azure en otro directorio, debe esperar a que el propietario del recurso apruebe la solicitud de conexión.

   

Paso 2: Permitir la red virtual

Con el punto de conexión privado configurado, permita la red virtual que hospeda el agente autohospedado en la configuración del firewall del almacén de claves.

1. Vaya al portal de Azure y busque el almacén de claves de Azure.

2. Seleccione Configuración redes> y asegúrese de que está en la pestaña Firewalls y redes virtuales.

3. Seleccione Agregar red virtual>Agregar redes virtuales existentes.

4. Seleccione la suscripción en el menú desplegable, seleccione la red virtual que creó anteriormente y, a continuación, seleccione las subredes.

5. Seleccione Agregar y desplácese hasta la parte inferior de la página y seleccione Aplicar para guardar los cambios.

   

Paso 3: Consulta de un almacén de claves privado desde un agente autohospedado

Una vez habilitada la red virtual, use el siguiente pipeline para consultar el almacén de claves privado a través del grupo de variables vinculado desde un agente autohospedado:

pool: Self-hosted-pool

variables:
  group: mySecret-VG

steps:
- task: CmdLine@2
  inputs:
    script: 'echo $(mySecret) > secret.txt'

- task: CopyFiles@2
  inputs:
    Contents: secret.txt
    targetFolder: '$(Build.ArtifactStagingDirectory)'

- task: PublishBuildArtifacts@1
  inputs:
    PathtoPublish: '$(Build.ArtifactStagingDirectory)'
    ArtifactName: 'drop'
    publishLocation: 'Container'

Si no desea conceder acceso de entrada Azure DevOps al almacén de claves privado, use la tarea AzureKeyVault para consultar directamente el almacén de claves. En este caso, asegúrese de que la red virtual que hospeda el agente autohospedado está permitida en la configuración del firewall del almacén de claves.

pool: Self-hosted-pool

steps:
- task: AzureKeyVault@2
  inputs:
    azureSubscription: '$(SERVICE_CONNECTION_NAME)'
    keyVaultName: $(KEY_VAULT_NAME)
    SecretsFilter: '*'

- task: CmdLine@2
  inputs:
    script: 'echo $(mySecret) > secret.txt'

- task: CopyFiles@2
  inputs:
    Contents: secret.txt
    targetFolder: '$(Build.ArtifactStagingDirectory)'

- task: PublishBuildArtifacts@1
  inputs:
    PathtoPublish: '$(Build.ArtifactStagingDirectory)'
    ArtifactName: 'drop'
    publishLocation: 'Container'