Uzyskaj dostęp do prywatnego magazynu kluczy z poziomu potoku

Uzyskiwanie dostępu do prywatnego magazynu kluczy z usługi Azure DevOps

W tej sekcji omówiono dwie metody uzyskiwania dostępu do prywatnego magazynu kluczy z Azure DevOps.

Pierwsza metoda wykorzystuje grupy zmiennych do łączenia i mapowania sekretów z Twojego magazynu kluczy, a następnie skonfigurowania dostępu przychodzącego przez dopuszczenie statycznych zakresów adresów IP. Azure Pipelines używa publicznego adresu IP Azure DevOps podczas wykonywania zapytań dotyczących magazynu kluczy z grupy zmiennych, dlatego należy zezwolić na te zakresy adresów IP w zaporze magazynu kluczy.

Druga metoda dynamicznie dodaje adres IP agenta hostowanego przez Microsoft do listy dozwolonych adresów w zaporze usługi Key Vault na początku potoku, odpytuje usługę Key Vault, a na końcu usuwa ten adres IP. Ta metoda służy tylko do celów demonstracyjnych i nie jest zalecana do użytku produkcyjnego.

Krok 1. Mapuj wpisy tajne z magazynu kluczy za pomocą grupy zmiennych

Krok 2. Konfigurowanie dostępu przychodzącego z Azure DevOps

Po skonfigurowaniu grupy zmiennych zezwól na dostęp przychodzący z Azure DevOps do magazynu kluczy, dodając statyczne zakresy adresów IP dla regionu geograficznego organizacji.

1. Zaloguj się do organizacji usługi Azure DevOps.

2. Wybierz pozycję Ustawienia organizacji.

3. Przejdź do obszaru Przegląd , aby znaleźć lokalizację geograficzną.

   

4. Znajdź zakresy adresów IPv4 dla regionu geograficznego.

   Ważne

   W przypadku połączeń przychodzących ze Stanów Zjednoczonych upewnij się, że dodasz zakresy adresów IP dla wszystkich regionów USA.

5. Skonfiguruj magazyn kluczy , aby zezwolić na dostęp z zakresów statycznych adresów IP.

Krok 3: Wykonywanie zapytań do prywatnego magazynu kluczy za pomocą grupy zmiennych

Po połączeniu grupy zmiennych i skonfigurowaniu dostępu przychodzącego użyj następującego potoku, aby odpytać prywatny magazyn kluczy i skopiować pobrany sekret. Azure Pipelines używa swojego publicznego adresu IP do odpytywania magazynu kluczy skonfigurowanego w grupie zmiennych, dlatego przed uruchomieniem potoku upewnij się, że skonfigurowano dostęp przychodzący.

variables:
-  group: mySecret-VG

steps:
- task: CmdLine@2
  inputs:
    script: 'echo $(mySecret) > secret.txt'

- task: CopyFiles@2
  inputs:
    Contents: secret.txt
    targetFolder: '$(Build.ArtifactStagingDirectory)'

- task: PublishBuildArtifacts@1
  inputs:
    PathtoPublish: '$(Build.ArtifactStagingDirectory)'
    ArtifactName: 'drop'
    publishLocation: 'Container'

Alternatywna metoda: Dynamiczne zezwalanie na adres IP agenta hostowanego Microsoft

W tym podejściu potok przy uruchomieniu pobiera adres IP agenta hostowanego przez firmę Microsoft, dodaje go do listy dozwolonych adresów w zaporze usługi Key Vault, uruchamia zadania usługi Key Vault, a następnie usuwa ten adres IP przed zakończeniem działania potoku.

- task: AzurePowerShell@5
  displayName: 'Allow agent IP'
  inputs:
    azureSubscription: 'YOUR_SERVICE_CONNECTION_NAME'
    azurePowerShellVersion: LatestVersion
    ScriptType: InlineScript
    Inline: |
     $ip = (Invoke-WebRequest -uri "http://ifconfig.me/ip").Content
     Add-AzKeyVaultNetworkRule -VaultName "YOUR_KEY_VAULT_NAME" -ResourceGroupName "YOUR_RESOURCE_GROUP_NAME" -IpAddressRange $ip
     echo "##vso[task.setvariable variable=agentIP]$ip"

- task: AzureKeyVault@2
  inputs:
    azureSubscription: 'YOUR_SERVICE_CONNECTION_NAME'
    KeyVaultName: 'YOUR_KEY_VAULT_NAME'
    SecretsFilter: '*'
    RunAsPreJob: false

- task: AzurePowerShell@5
  displayName: 'Remove agent IP'
  inputs:
    azureSubscription: 'YOUR_SERVICE_CONNECTION_NAME'
    azurePowerShellVersion: LatestVersion
    ScriptType: InlineScript
    Inline: |
     $ipRange = "$(agentIP)/32"
     Remove-AzKeyVaultNetworkRule -VaultName "YOUR_KEY_VAULT_NAME" -IpAddressRange $ipRange
  condition: succeededOrFailed()

Uzyskiwanie dostępu do prywatnego magazynu kluczy za pomocą agenta hostowanego samodzielnie

Aby uzyskać dostęp do prywatnego magazynu kluczy z poziomu agenta Azure Pipelines, użyj agenta hostowanego samodzielnie (Windows, Linux lub Mac) albo agentów Virtual Machine Scale Sets. Agenci hostowani przez firmę Microsoft, podobnie jak inne ogólne usługi obliczeniowe, nie znajdują się na liście zaufanych usług usługi Key Vault.

Aby ustanowić łączność z prywatnym magazynem kluczy, skonfiguruj prywatny punkt końcowy w celu uzyskania bezpośredniego dostępu. Ten punkt końcowy musi być osiągalny sieciowo, a jego prywatna nazwa DNS musi dać się rozwiązać z poziomu agenta potoku hostowanego samodzielnie.

Krok 1. Skonfiguruj dostęp przychodzący z agenta hostowanego lokalnie

1. Postępuj zgodnie z instrukcjami, aby utworzyć sieć wirtualną.

2. W portalu Azure użyj paska wyszukiwania w górnej części strony, aby znaleźć magazyn kluczy Azure.

3. Wybierz magazyn kluczy, a następnie przejdź do Ustawienia>Sieć.

4. Wybierz pozycję Połączenia prywatnych punktów końcowych, a następnie wybierz pozycję Utwórz, aby utworzyć nowy prywatny punkt końcowy.

   

5. Wybierz grupę zasobów, która hostuje utworzoną wcześniej sieć wirtualną. Wprowadź nazwę i nazwę interfejsu sieciowego dla swojego wystąpienia i upewnij się, że wybierasz ten sam region, co sieć wirtualna utworzona wcześniej. Wybierz pozycję Dalej.

   

6. W przypadku metody Connection wybierz pozycję Połączenie z zasobem Azure w moim katalogu. W przypadku Typ zasobu wybierz Microsoft.KeyVault/vaults z menu rozwijanego. Wybierz zasób z menu rozwijanego. Docelowy zasób podrzędny jest automatycznie wypełniany wartością vault. Wybierz pozycję Dalej.

   

7. Na karcie Virtual Network wybierz sieć wirtualną i podsieć, które zostały wcześniej utworzone, i pozostaw pozostałe pola z wartościami domyślnymi. Wybierz pozycję Dalej.

8. Zaakceptuj ustawienia domyślne na kartach DNS i Tagi . Na karcie Przeglądanie + tworzenie wybierz pozycję Utwórz.

9. Po wdrożeniu zasobu przejdź do magazynu kluczy i wybierz pozycje Ustawienia>Sieć>Połączenia prywatnych punktów końcowych. Prywatny punkt końcowy powinien być widoczny ze stanem Stan połączenia jako Zatwierdzony. Jeśli łączysz się z zasobem Azure w innym katalogu, musisz poczekać, aż właściciel zasobu zatwierdzi żądanie połączenia.

   

Krok 2. Zezwalanie na sieć wirtualną

Po skonfigurowaniu prywatnego punktu końcowego zezwól na dostęp sieci wirtualnej, w której działa agent hostowany samodzielnie, w ustawieniach zapory usługi Key Vault.

1. Przejdź do portalu Azure, a następnie znajdź magazyn kluczy Azure.

2. Wybierz pozycję Ustawienia>Sieć i upewnij się, że jesteś na karcie Zapory i sieci wirtualne .

3. Wybierz pozycję Dodaj sieć wirtualną>Dodaj istniejące sieci wirtualne.

4. Wybierz swoją subskrypcję z menu rozwijanego, wybierz utworzoną wcześniej sieć wirtualną, a następnie wybierz podsieci.

5. Wybierz pozycję Dodaj, a następnie przewiń do dołu strony i wybierz pozycję Zastosuj , aby zapisać zmiany.

   

Krok 3: Wykonaj zapytanie do prywatnego magazynu kluczy z poziomu agenta hostowanego samodzielnie

Jeśli ruch z sieci wirtualnej jest dozwolony, użyj następującego potoku, aby wysłać zapytanie do prywatnego magazynu kluczy za pośrednictwem połączonej grupy zmiennych przy użyciu agenta hostowanego samodzielnie:

pool: Self-hosted-pool

variables:
  group: mySecret-VG

steps:
- task: CmdLine@2
  inputs:
    script: 'echo $(mySecret) > secret.txt'

- task: CopyFiles@2
  inputs:
    Contents: secret.txt
    targetFolder: '$(Build.ArtifactStagingDirectory)'

- task: PublishBuildArtifacts@1
  inputs:
    PathtoPublish: '$(Build.ArtifactStagingDirectory)'
    ArtifactName: 'drop'
    publishLocation: 'Container'

Jeśli nie chcesz zezwalać platformie Azure DevOps na dostęp przychodzący do prywatnego magazynu kluczy, użyj zadania AzureKeyVault, aby bezpośrednio odpytać magazyn kluczy. W takim przypadku upewnij się, że sieć wirtualna obsługująca agenta hostowanego samodzielnie jest uwzględniona w ustawieniach zapory usługi Key Vault.

pool: Self-hosted-pool

steps:
- task: AzureKeyVault@2
  inputs:
    azureSubscription: '$(SERVICE_CONNECTION_NAME)'
    keyVaultName: $(KEY_VAULT_NAME)
    SecretsFilter: '*'

- task: CmdLine@2
  inputs:
    script: 'echo $(mySecret) > secret.txt'

- task: CopyFiles@2
  inputs:
    Contents: secret.txt
    targetFolder: '$(Build.ArtifactStagingDirectory)'

- task: PublishBuildArtifacts@1
  inputs:
    PathtoPublish: '$(Build.ArtifactStagingDirectory)'
    ArtifactName: 'drop'
    publishLocation: 'Container'