Accéder à un coffre de clés privé depuis votre pipeline

Accéder à un coffre de clés privé à partir d’Azure DevOps

Cette section décrit deux méthodes d’accès à un coffre de clés privé à partir de Azure DevOps.

La première méthode utilise des groupes de variables pour lier et mapper des secrets à partir de votre coffre de clés, puis configurer l’accès entrant en autorisant les plages d’adresses IP statiques. Azure Pipelines utilise l’adresse IP publique Azure DevOps lors de l’interrogation d’un coffre de clés à partir d’un groupe de variables. Vous devez donc autoriser ces plages d’adresses IP dans le pare-feu du coffre de clés.

La deuxième méthode ajoute dynamiquement l’adresse IP de l’agent hébergé par Microsoft à la liste d’autorisation du pare-feu du coffre de clés au début du pipeline, interroge le coffre de clés, puis retire finalement l’adresse IP. Cette méthode est uniquement à des fins de démonstration et n’est pas recommandée pour une utilisation en production.

Étape 1 : Mapper les secrets du coffre de clés avec un groupe de variables

Étape 2 : Configurer l’accès entrant à partir de Azure DevOps

Après avoir configuré votre groupe de variables, autorisez l'accès entrant à partir de Azure DevOps à votre coffre de clés en ajoutant les plages d'adresses IP statiques pour la région géographique de votre organisation.

1. Connectez-vous à votre organisation Azure DevOps.

2. Sélectionnez Paramètres de l’organisation.

3. Accédez à Vue d’ensemble pour rechercher l’emplacement géographique.

   

4. Trouvez vos plages IP V4 géographiques.

   Important

   Pour les connexions entrantes vers les États-Unis, veillez à ajouter les plages d'adresses IP pour toutes les régions américaines.

5. Configurez votre coffre de clés pour autoriser l’accès depuis des plages d’IP statiques.

Étape 3 : Interroger un coffre de clés privé avec un groupe de variables

Une fois votre groupe de variables lié et l’accès entrant configuré, utilisez le pipeline suivant pour interroger votre coffre de clés privé et copier le secret ainsi récupéré. Azure Pipelines utilise son adresse IP publique pour interroger le coffre de clés à partir d’un groupe de variables. Veillez donc à configurer l’accès entrant avant d’exécuter le pipeline.

variables:
-  group: mySecret-VG

steps:
- task: CmdLine@2
  inputs:
    script: 'echo $(mySecret) > secret.txt'

- task: CopyFiles@2
  inputs:
    Contents: secret.txt
    targetFolder: '$(Build.ArtifactStagingDirectory)'

- task: PublishBuildArtifacts@1
  inputs:
    PathtoPublish: '$(Build.ArtifactStagingDirectory)'
    ArtifactName: 'drop'
    publishLocation: 'Container'

Méthode alternative : autoriser dynamiquement l’adresse IP de l’agent hébergé par Microsoft

Dans cette approche, le pipeline interroge l’adresse IP de l’agent hébergé par Microsoft au démarrage, l’ajoute à la liste d’autorisation du pare-feu du coffre de clés, exécute les tâches liées au coffre de clés, puis supprime l’adresse IP avant que le pipeline se termine.

- task: AzurePowerShell@5
  displayName: 'Allow agent IP'
  inputs:
    azureSubscription: 'YOUR_SERVICE_CONNECTION_NAME'
    azurePowerShellVersion: LatestVersion
    ScriptType: InlineScript
    Inline: |
     $ip = (Invoke-WebRequest -uri "http://ifconfig.me/ip").Content
     Add-AzKeyVaultNetworkRule -VaultName "YOUR_KEY_VAULT_NAME" -ResourceGroupName "YOUR_RESOURCE_GROUP_NAME" -IpAddressRange $ip
     echo "##vso[task.setvariable variable=agentIP]$ip"

- task: AzureKeyVault@2
  inputs:
    azureSubscription: 'YOUR_SERVICE_CONNECTION_NAME'
    KeyVaultName: 'YOUR_KEY_VAULT_NAME'
    SecretsFilter: '*'
    RunAsPreJob: false

- task: AzurePowerShell@5
  displayName: 'Remove agent IP'
  inputs:
    azureSubscription: 'YOUR_SERVICE_CONNECTION_NAME'
    azurePowerShellVersion: LatestVersion
    ScriptType: InlineScript
    Inline: |
     $ipRange = "$(agentIP)/32"
     Remove-AzKeyVaultNetworkRule -VaultName "YOUR_KEY_VAULT_NAME" -IpAddressRange $ipRange
  condition: succeededOrFailed()

Accéder à un coffre de clés privé depuis un agent auto-hébergé

Pour accéder à un coffre de clés privé à partir d’un agent Azure Pipelines, utilisez un agent auto-hébergé (Windows, Linux ou Mac) ou Virtual Machine Scale Sets agents. Les agents hébergés par Microsoft, comme d’autres services de calcul généraux, ne figurent pas dans la liste des services approuvés du coffre de clés.

Pour établir la connectivité à votre coffre de clés privé, configurez un point de terminaison privé pour un accès direct. Ce point de terminaison doit être routable et son nom DNS privé doit être résolu à partir de l’agent de pipeline auto-hébergé.

Étape 1 : Configurer l’accès entrant à partir d’un agent auto-hébergé

1. Suivez les instructions pour créer un réseau virtuel.

2. Dans le portail Azure, utilisez la barre de recherche en haut de la page pour rechercher votre coffre de clés Azure.

3. Sélectionnez votre coffre de clés, puis accédez à Paramètres>réseau.

4. Sélectionnez Connexions de point de terminaison privé, puis sélectionnez Créer pour créer un nouveau point de terminaison privé.

   

5. Sélectionnez le groupe de ressources qui héberge le réseau virtuel que vous avez créé précédemment. Entrez un nom et un nom d’interface réseau pour votre instance, puis vérifiez que vous sélectionnez la même région que le réseau virtuel que vous avez créé précédemment. Sélectionnez Suivant.

   

6. Pour la méthode Connection, sélectionnez Connecter à une ressource Azure dans mon répertoire. Pour Type de ressource, choisissez Microsoft. KeyVault/vaults dans le menu déroulant. Sélectionnez votre ressource dans le menu déroulant. La sous-ressource cible est renseignée automatiquement avec la valeur coffre. Sélectionnez Suivant.

   

7. Sous l’onglet Réseau virtuel, sélectionnez le virtual network et le sous-réseau que vous avez créés précédemment, puis laissez le reste des champs comme valeur par défaut. Sélectionnez Suivant.

8. Acceptez les paramètres par défaut sous les onglets DNS et Balises . Sous l’onglet Vérifier + créer, sélectionnez Créer.

9. Une fois votre ressource déployée, accédez à votre coffre de clés et sélectionnez Paramètres>Réseau> Connexions de point de terminaison privé. Votre point de terminaison privé doit être répertorié avec l’état de connexionapprouvé. Si vous créez un lien vers une ressource Azure dans un autre répertoire, vous devez attendre que le propriétaire de la ressource approuve votre demande de connexion.

   

Étape 2 : Autoriser votre réseau virtuel

Une fois le point de terminaison privé configuré, autorisez le réseau virtuel qui héberge votre agent auto-hébergé dans les paramètres du pare-feu du coffre de clés.

1. Accédez au portail Azure, puis recherchez votre coffre de clés Azure.

2. Sélectionnez Paramètres>Mise en réseau, puis vérifiez que vous êtes sous l’onglet Pare-feux et réseaux virtuels.

3. Sélectionnez Ajouter un réseau virtuel>Ajouter des réseaux virtuels existants.

4. Sélectionnez votre abonnement dans le menu déroulant, sélectionnez le réseau virtuel que vous avez créé précédemment, puis sélectionnez vos sous-réseaux.

5. Sélectionnez Ajouter, puis faites défiler vers le bas de la page, puis sélectionnez Appliquer pour enregistrer vos modifications.

   

Étape 3 : Interroger un Key Vault privé depuis un agent auto-hébergé

Une fois le réseau virtuel autorisé, utilisez le pipeline suivant pour interroger le coffre de clés privé via le groupe de variables associé depuis un agent auto-hébergé :

pool: Self-hosted-pool

variables:
  group: mySecret-VG

steps:
- task: CmdLine@2
  inputs:
    script: 'echo $(mySecret) > secret.txt'

- task: CopyFiles@2
  inputs:
    Contents: secret.txt
    targetFolder: '$(Build.ArtifactStagingDirectory)'

- task: PublishBuildArtifacts@1
  inputs:
    PathtoPublish: '$(Build.ArtifactStagingDirectory)'
    ArtifactName: 'drop'
    publishLocation: 'Container'

Si vous ne souhaitez pas accorder Azure DevOps'accès entrant à votre coffre de clés privé, utilisez la tâche AzureKeyVault pour interroger directement le coffre de clés. Dans ce cas, vérifiez que le réseau virtuel qui héberge votre agent auto-hébergé est autorisé dans les paramètres du pare-feu du coffre de clés.

pool: Self-hosted-pool

steps:
- task: AzureKeyVault@2
  inputs:
    azureSubscription: '$(SERVICE_CONNECTION_NAME)'
    keyVaultName: $(KEY_VAULT_NAME)
    SecretsFilter: '*'

- task: CmdLine@2
  inputs:
    script: 'echo $(mySecret) > secret.txt'

- task: CopyFiles@2
  inputs:
    Contents: secret.txt
    targetFolder: '$(Build.ArtifactStagingDirectory)'

- task: PublishBuildArtifacts@1
  inputs:
    PathtoPublish: '$(Build.ArtifactStagingDirectory)'
    ArtifactName: 'drop'
    publishLocation: 'Container'