パイプラインからプライベート Key Vault へのアクセス

Azure DevOps から秘密キー コンテナーにアクセスする

このセクションでは、Azure DevOpsから秘密キー コンテナーにアクセスする 2 つの方法について説明します。

最初の方法では、変数グループを使用してキー コンテナーからシークレットをリンクおよびマップし、続いて静的 IP 範囲を許可して受信アクセスを設定します。 Azure Pipelinesは、変数グループからキー コンテナーにクエリを実行するときにAzure DevOpsパブリック IP を使用するため、キー コンテナーファイアウォールでそれらの IP 範囲を許可する必要があります。

2 番目の方法では、パイプラインの開始時に、Microsoftホスト型エージェントの IP アドレスを Key Vault ファイアウォール許可リストに動的に追加し、キー コンテナーにクエリを実行してから、最後に IP を削除します。 この方法はデモンストレーションのみを目的としており、運用環境での使用はお勧めしません。

手順 1: キー コンテナーシークレットを変数グループにマップする

手順 2: Azure DevOpsからの受信アクセスを構成する

変数グループを構成したら、組織の地理的リージョンの静的 IP 範囲を追加して、Azure DevOpsからキー コンテナーへの受信アクセスを許可します。

1. Azure DevOps 組織にサインインします。

2. [組織の設定] を選択します。

3. [ 概要 ] に移動して地理的な場所を見つけます。

   

4. 地理的な IP V4 範囲を見つけます。

   重要

   米国受信接続の場合は、必ずすべての米国リージョンの IP 範囲を追加してください。

5. 静的 IP 範囲からのアクセスを許可するように Key Vault を構成します。

手順 3: 変数グループを使用して秘密キー コンテナーにクエリを実行する

変数グループがリンクされ、受信アクセスが構成されたら、次のパイプラインを使用して秘密キー コンテナーにクエリを実行し、取得したシークレットをコピーします。 Azure Pipelines は、変数グループ経由でキー コンテナーを照会するためにパブリック IP を使用するため、パイプラインを実行する前に 受信アクセスを構成 しておいてください。

variables:
-  group: mySecret-VG

steps:
- task: CmdLine@2
  inputs:
    script: 'echo $(mySecret) > secret.txt'

- task: CopyFiles@2
  inputs:
    Contents: secret.txt
    targetFolder: '$(Build.ArtifactStagingDirectory)'

- task: PublishBuildArtifacts@1
  inputs:
    PathtoPublish: '$(Build.ArtifactStagingDirectory)'
    ArtifactName: 'drop'
    publishLocation: 'Container'

代替方法: Microsoftホストされるエージェント IP を動的に許可する

この方法では、パイプラインは起動時にMicrosoftホストされるエージェント IP に対してクエリを実行し、それを Key Vault ファイアウォールの許可リストに追加し、キー コンテナー タスクを実行してから、パイプラインが終了する前に IP を削除します。

- task: AzurePowerShell@5
  displayName: 'Allow agent IP'
  inputs:
    azureSubscription: 'YOUR_SERVICE_CONNECTION_NAME'
    azurePowerShellVersion: LatestVersion
    ScriptType: InlineScript
    Inline: |
     $ip = (Invoke-WebRequest -uri "http://ifconfig.me/ip").Content
     Add-AzKeyVaultNetworkRule -VaultName "YOUR_KEY_VAULT_NAME" -ResourceGroupName "YOUR_RESOURCE_GROUP_NAME" -IpAddressRange $ip
     echo "##vso[task.setvariable variable=agentIP]$ip"

- task: AzureKeyVault@2
  inputs:
    azureSubscription: 'YOUR_SERVICE_CONNECTION_NAME'
    KeyVaultName: 'YOUR_KEY_VAULT_NAME'
    SecretsFilter: '*'
    RunAsPreJob: false

- task: AzurePowerShell@5
  displayName: 'Remove agent IP'
  inputs:
    azureSubscription: 'YOUR_SERVICE_CONNECTION_NAME'
    azurePowerShellVersion: LatestVersion
    ScriptType: InlineScript
    Inline: |
     $ipRange = "$(agentIP)/32"
     Remove-AzKeyVaultNetworkRule -VaultName "YOUR_KEY_VAULT_NAME" -IpAddressRange $ipRange
  condition: succeededOrFailed()

セルフホステッド エージェントからプライベート Key Vault にアクセスする

Azure Pipelines エージェントから秘密キー コンテナーにアクセスするには、セルフホステッド エージェント (Windows、Linux、または Mac) または Virtual Machine Scale Sets エージェントのいずれかを使用します。 他の汎用コンピューティング サービスと同様に、Microsoftホストされるエージェントは、信頼されたサービスのキー コンテナーの一覧には含まれません。

プライベート キー ボールトへの接続を確立するには、見通しアクセス用のプライベート エンドポイントを構成してください。 このエンドポイントはルーティング可能で、プライベート DNS 名はセルフホステッド パイプライン エージェントから解決できる必要があります。

手順 1: セルフホステッド エージェントからの受信アクセスを構成する

1. 手順に従って 仮想ネットワークを作成します。

2. Azure ポータルで、ページの上部にある検索バーを使用して、Azureキー コンテナーを見つけます。

3. キー コンテナーを選択し、 設定>Networking に移動します。

4. [プライベート エンドポイント接続]、[作成] の順に選択し、新しいプライベート エンドポイントを作成します。

   新しいプライベート エンドポイント接続を作成する方法を示す Azure キー ボルトのスクリーンショット

5. 前に作成した仮想ネットワークをホストするリソース グループを選択します。 インスタンスの名前とネットワーク インターフェイス名を入力し、先ほど作成した仮想ネットワークと同じリージョンを選択していることを確認します。 次へを選択します。

   Azure Key Vault の新しいプライベート エンドポイント インスタンスを作成するときに [基本] タブを構成する方法を示すスクリーンショット。

6. Connection メソッドで、ディレクトリ内のAzure リソースに接続 を選択します。 リソースの種類で、ドロップダウン メニューからMicrosoft.KeyVault/vaultsを選択します。 ドロップダウン メニューからリソースを選択します。 ターゲット サブリソース には、値 ボールト が自動的に設定されます。 次へを選択します。

   

7. Virtual Network タブで、前に作成したvirtual networkとサブネットを選択し、残りのフィールドは既定値のままにします。 次へを選択します。

8. [DNS] タブと [タグ] タブの既定の設定をそのまま使用します。 [確認と作成] タブで、[作成] を選択します。

9. リソースがデプロイされたら、キー コンテナーに移動し 、設定>Networking>Private エンドポイント接続を選択します。 プライベート エンドポイントは、[ 接続] 状態 が [承認済み] と表示されている必要があります。 別のディレクトリ内のAzure リソースにリンクする場合は、リソース所有者が接続要求を承認するのを待つ必要があります。

   

手順 2: 仮想ネットワークを許可する

プライベート エンドポイントが構成されたら、キー コンテナーのファイアウォール設定でセルフホステッド エージェントをホストする仮想ネットワークを許可します。

1. Azure ポータル に移動し、Azureキー コンテナーを見つけます。

2. >] を選択し、[ファイアウォールと仮想ネットワーク] タブにいることを確認します。

3. [仮想ネットワークを追加]>[既存の仮想ネットワークを追加] の順に選択します。

4. ドロップダウン メニューからサブスクリプションを選択し、先ほど作成した仮想ネットワークを選択し、サブネットを選択します。

5. [ 追加] を選択し、ページの一番下までスクロールし、[ 適用 ] を選択して変更を保存します。

   

手順 3: セルフホステッド エージェントからプライベートキー ボールトにクエリを実行する

仮想ネットワークが許可されたら、次のパイプラインを使用して、セルフホステッド エージェントのリンクされた変数グループを介して秘密キー コンテナーにクエリを実行します。

pool: Self-hosted-pool

variables:
  group: mySecret-VG

steps:
- task: CmdLine@2
  inputs:
    script: 'echo $(mySecret) > secret.txt'

- task: CopyFiles@2
  inputs:
    Contents: secret.txt
    targetFolder: '$(Build.ArtifactStagingDirectory)'

- task: PublishBuildArtifacts@1
  inputs:
    PathtoPublish: '$(Build.ArtifactStagingDirectory)'
    ArtifactName: 'drop'
    publishLocation: 'Container'

Azure DevOps にプライベート キー コンテナーへの受信アクセスを許可したくない場合は、AzureKeyVault タスクを使用して、キー コンテナーを直接照会します。 この場合は、キー コンテナーのファイアウォール設定で、セルフホステッド エージェントをホストする仮想ネットワークが許可されていることを確認します。

pool: Self-hosted-pool

steps:
- task: AzureKeyVault@2
  inputs:
    azureSubscription: '$(SERVICE_CONNECTION_NAME)'
    keyVaultName: $(KEY_VAULT_NAME)
    SecretsFilter: '*'

- task: CmdLine@2
  inputs:
    script: 'echo $(mySecret) > secret.txt'

- task: CopyFiles@2
  inputs:
    Contents: secret.txt
    targetFolder: '$(Build.ArtifactStagingDirectory)'

- task: PublishBuildArtifacts@1
  inputs:
    PathtoPublish: '$(Build.ArtifactStagingDirectory)'
    ArtifactName: 'drop'
    publishLocation: 'Container'