Configurer le connecteur d’application BYO GitHub dans l’agent SRE Azure

Connectez votre agent à GitHub à l’aide d’une application GitHub que vous fournissez vous-même, une identité de service que votre organisation enregistre avec des informations d’identification adossées à Key Vault.

Quand utiliser l’application BYO

Utilisez l’application BYO quand :

• Votre organisation nécessite des contrôles d’authentification et de garde de clé basés sur l’application.
• Vous effectuez une connexion avec les *.ghe.com référentiels (obligatoire).
• Vous souhaitez un accès basé sur un jeton d’installation plutôt que des jetons utilisateur.

Prerequisites

• Exécuter l’agent avec le rôle Administrateur ou Utilisateur standard
• Application GitHub créée sur votre hôte cible (github.com ou *.ghe.com)
• Accès administrateur à l’organisation ou au dépôt GitHub (pour créer, installer ou vérifier la portée de l’application GitHub)
• Clé privée d’application stockée dans Azure Key Vault en tant que secret
• Identité gérée de l’agent avec le rôle Utilisateur des secrets Key Vault sur ce coffre

Étape 1 : Créer une application GitHub

Si vous disposez déjà d’une application GitHub avec les autorisations appropriées, passez à l’étape 2.

1. Accédez à votre hôte GitHub :
   • github.com: Accédez à votre organisation, puis sélectionnez Paramètres>du développeur>GitHub Apps>New GitHub App.
   • <tenant>.ghe.com: Chemin d’accès identique sur votre instance GHE.
2. Renseignez les détails de l’application :
   • GitHub nom de l’application : par exemple contoso-sre-agent-reader , (préfixe avec le nom de votre organisation pour éviter les conflits).
   • URL de la page d’accueil : https://sre.azure.com.
   • Webhook : décochez Active (l’agent n’utilise pas de webhooks).
3. Sous Autorisations, définissez :
   • Autorisations > de référentiel Contenu : en lecture seule (obligatoire).
   • Autorisations > de référentiel Métadonnées : lecture seule (sélectionnée automatiquement).
   • Ajoutez éventuellement un accès en lecture à Issues et à Pull requests.
4. Sous Partout, cette application GitHub peut-elle être installée ?, sélectionnez Only sur ce compte.
5. Sélectionnez Créer une application GitHub.
6. Notez l’ID client affiché dans la page paramètres de l’application (commence par Iv..., il est différent de l’ID d’application numérique).

Installer le application GitHub

1. Dans la page paramètres de l’application GitHub, sélectionnez Installer l’application dans la barre latérale gauche.
2. Sélectionnez votre organisation.
3. Choisissez tous les référentiels ou sélectionnez des dépôts spécifiques.
4. Sélectionnez Installer.

Étape 2 : Générer une clé privée

1. Sur la page des paramètres de GitHub App, faites défiler la page jusqu’à Clés privées.
2. Sélectionnez Générer une clé privée.
3. Un .pem fichier est téléchargé. Ce fichier est la clé privée RSA utilisée par l’agent pour s’authentifier.

Étape 3 : Stocker une clé privée dans Key Vault

1. Ouvrez le portail Azure et accédez à votre Key Vault.
2. Accédez à Secrets>Generate/Import.
3. Définissez le nom (par exemple sre-agent-github-app-key) et collez le contenu PEM complet en tant que valeur (y compris -----BEGIN RSA PRIVATE KEY----- et -----END RSA PRIVATE KEY----- en-têtes).
4. Cliquez sur Créer.
5. Ouvrez le secret, sélectionnez la version en cours et copiez l’URI de l’identificateur du secret :

https://myvault.vault.azure.net/secrets/my-github-app-key/<version>

Étape 4 : Accorder Key Vault accès à l’identité de l’agent

1. Dans Azure portail, ouvrez votre Key Vault et accédez au contrôle d’accès (IAM).
2. Attribuez Key Vault Secrets User à l’identité managée de l’agent.
3. Attendez la propagation de l’attribution de rôle.

Étape 5 : Configurer BYO App dans Code Access

1. Ouvrez votre assistant.
2. Accédez à Builder>Code Access.

1. Sélectionnez Ajouter des référentiels.

2. Choisissez GitHub et entrez l’hôte :

   • github.com pour GitHub public.
   • <tenant>.ghe.com pour Enterprise Cloud.

3. Continuez à s’authentifier.

4. Sélectionnez Bring your own GitHub App.

   

5. Entrez :

   • ID du client
   • URI du secret de clé privée (Key Vault)
   • Identité Key Vault facultative (ou conserver l’identité affectée par le système)

6. Sélectionnez Se connecter.

L’Assistant valide vos informations d’identification. En cas de réussite, vous voyez Connecté en tant qu’application GitHub avec une coche verte.

Si l’accès au code ne s’ouvre pas à partir du volet de navigation gauche, actualisez la page de l’agent, développez à nouveau le Générateur et réessayez.

Étape 6 : Ajouter des référentiels et vérifier

1. Sélectionnez les référentiels et enregistrez.

   

2. Vérifiez que la carte d’accès au code affiche l’hôte connecté et le type GitHubAppd’authentification.

   

3. Testez l’accès au code dans la conversation :

What files are in the root of owner/repo?

Si vous avez également accordé l’autorisation Issues à votre application GitHub, vérifiez les opérations sur les issues :

List recent issues from owner/repo.

Identité managée par application

Par défaut, l’agent utilise sa identité managée affectée par le système pour lire la clé privée à partir de Key Vault. Si vous gérez plusieurs applications GitHub (par exemple, une par instance GHE), attribuez une identité managée affectée par l’utilisateur à chaque application. Cette approche offre une isolation de sécurité, car chaque identité a uniquement accès à son propre secret Key Vault.

Sélectionnez l’identité dans la liste déroulante Identité Key Vault à l’étape 5.

Prise en charge de plusieurs hôtes pour les connecteurs GitHub

Vous pouvez connecter plusieurs hôtes GitHub au même agent. Chaque hôte dispose de sa propre authentification :

• github.com: Application OAuth, PAT ou BYO
• contoso.ghe.com: application BYO
• engineering.ghe.com: Application BYO (avec une autre application GitHub)

La déconnexion d’un hôte n’affecte pas les autres.

Troubleshooting