Uso de segredos do Azure Key Vault em Azure Pipelines

Criar uma identidade gerenciada atribuída ao usuário

1. Vá para o portal Azure e pesquise Identidades Gerenciadas na barra de pesquisa.

2. Selecione Criar e forneça as seguintes informações:

   • Assinatura: selecione sua assinatura do Azure no menu suspenso.
   • Grupo de recursos: Selecione um grupo de recursos existente ou crie um novo.
   • Região: selecione a região em que a identidade gerenciada é criada.
   • Nome: insira um nome para a identidade gerenciada atribuída pelo usuário.

3. Selecione Examinar + criar e, em seguida, selecione Criar para iniciar a implantação.

4. Após a conclusão da implantação, selecione Ir para o recurso e copie a ID da Assinatura e a ID do Cliente. Você precisa desses valores em etapas posteriores.

5. Em Configurações, selecione Propriedades e copie o valor da ID do Locatário da identidade gerenciada para uso posterior.

Configurar políticas de acesso do Key Vault

1. Acesse o portal Azure e use a barra de pesquisa para localizar o cofre de chaves criado anteriormente.

2. Selecione políticas de acesso e, em seguida, selecione Criar para adicionar uma nova política.

3. Em permissões secretas, selecione as caixas de seleção Obter e Listar .

4. Selecione Próximo. Cole a ID do cliente da identidade gerenciada que você criou anteriormente na barra de pesquisa e selecione a identidade gerenciada.

5. Selecione Avançar e, em seguida, Avançar novamente.

6. Examine os detalhes da política de acesso e selecione Criar para aplicar a política.

Criar uma conexão de serviço

1. Entre no Azure DevOps e vá para o projeto.

2. Selecione Configurações do projeto>Conexões de serviço>Nova conexão de serviço.

3. Selecione Azure Resource Manager e, em seguida, Avançar.

4. Para Tipo de Identidade, selecione Identidade Gerenciada.

5. Na Etapa 1: Detalhes da identidade gerenciada, forneça as seguintes informações:

   • Assinatura para identidade gerenciada: selecione a assinatura que contém sua identidade gerenciada.
   • Grupo de recursos para identidade gerenciada: selecione o grupo de recursos que hospeda sua identidade gerenciada.
   • Identidade gerenciada: selecione sua identidade gerenciada na lista suspensa.

6. Para a Etapa 2: Escopo do Azure, forneça as seguintes informações:

   • Nível de escopo para conexão de serviço: selecione Assinatura.
   • Assinatura para conexão de serviço: selecione a assinatura à qual a identidade gerenciada tem acesso.
   • Grupo de recursos para conexão de serviço: (Opcional) Especifique um grupo de recursos para limitar o acesso da identidade gerenciada a um grupo de recursos.

7. Para a Etapa 3: Detalhes da conexão de serviço, forneça as seguintes informações:

   • Nome da conexão de serviço: insira um nome para a conexão de serviço.
   • Referência de gerenciamento de serviço: (Opcional) Incluir informações de contexto de um banco de dados ITSM.
   • Descrição: (opcional) Insira uma descrição.

8. Em Segurança, a opção Conceder acesso a todos os pipelines permite que todos os pipelines usem essa conexão de serviço. Não recomendamos essa opção. Em vez disso, autorize cada pipeline individualmente a usar a conexão de serviço.

9. Selecione Salvar para validar e criar a conexão de serviço.

   

Configurar políticas de acesso do Key Vault

Para acessar o seu Key Vault, você deve primeiro configurar uma entidade de serviço para conceder acesso ao Azure Pipelines.

1. Criar uma entidade de serviço.

2. Vá para o Azure portal e use a barra de pesquisa para localizar o cofre de chaves que você criou anteriormente.

3. Selecione Políticas de acesso e, em seguida, selecione Criar.

4. Em Permissões secretas, adicione as permissões Obter e Listar e selecione Avançar.

5. Para a Entidade do Serviço, cole o ID do objeto da entidade do serviço, selecione a entidade do serviço e selecione Avançar.

6. Selecione Avançar novamente, examine a política de acesso e selecione Salvar.

Adicionar atribuição de função

Na próxima etapa, você criará uma conexão de serviço do Azure Resource Manager para seu principal de serviço. Antes de verificar a conexão, você precisa:

• Conceda ao leitor da entidade de serviço acesso no nível da assinatura.
• Crie uma credencial federada para seu principal de serviço.

Para conceder acesso ao Leitor no nível da assinatura, siga estas etapas:

1. Acesse o portal Azure, selecione Subscriptions e selecione sua assinatura.

2. Selecione Controle de Acesso (IAM) e escolha Adicionar>Adicionar atribuição de função.

3. Na guia Função , selecione Leitor e selecione Avançar.

4. Escolha Usuário, grupo ou entidade de serviço e escolha Selecionar membros.

5. Cole a ID do objeto da entidade de serviço na barra de pesquisa, selecione-a e escolha Selecionar.

6. Selecione Examinar + atribuir, examine as configurações e selecione Examinar + atribuir novamente para aplicar a atribuição de função.

Criar uma conexão de serviço

1. Entre no Azure DevOps e vá para o projeto.

2. Selecione Configurações do Projeto>Conexões de Serviço.

3. Selecione A nova conexão de serviço>Azure Resource Manager e selecione Next.

4. Selecione Principal de Serviço (manual) e, em seguida, selecione Avançar.

5. Para Tipo de Identidade, selecione Registro de aplicativo ou identidade gerenciada (manual).

6. Para Credencial, selecione Federação de identidade de workload.

7. Insira um nome para a conexão de serviço e selecione Avançar.

8. Para Environment, selecione Azure Cloud e, para Subscription scope, selecione Subscription.

9. Insira sua ID de assinatura Azure e o nome da assinatura.

10. Para Autenticação, cole a ID do Aplicativo (cliente) e a ID do Diretório (locatário) do sua entidade de serviço.

11. Em Segurança, a opção Conceder acesso a todos os pipelines permite que todos os pipelines usem essa conexão de serviço. Não recomendamos essa opção. Em vez disso, autorize cada pipeline individualmente a usar a conexão de serviço.

12. Deixe esta janela aberta. Você retorna mais tarde para verificar e salvar a conexão de serviço depois de criar a credencial federada.

Criar uma credencial federada de principal de serviço

1. Vá para o Azure portal, insira a ID do cliente da entidade de serviço na barra de pesquisa e selecione seu aplicativo.

2. Em Gerenciar, selecione Certificados e segredos>Credenciais federadas.

3. Selecione Adicionar credencial e, em seguida, para Cenário de credencial federada, selecione Outro emissor.

4. Para Emissor, cole o valor do Emissor copiado da conexão do serviço.

5. Para o identificador de Assunto, cole o valor do identificador de assunto copiado da conexão de serviço.

6. Insira um nome para a credencial federada e selecione Adicionar.

7. Retorne à janela de conexão de serviço e selecione Verificar e Salvar para salvar sua conexão de serviço.

1. Entre no Azure DevOps e vá para o projeto.

2. Selecione Pipelines>Novo Pipeline.

3. Selecione Azure Repos Git (YAML) e, em seguida, selecione seu repositório.

4. Selecione o modelo Pipeline inicial.

5. O fluxo de trabalho padrão inclui comandos de eco de amostra. Você não precisa desses comandos, portanto, você pode removê-los.

6. Adicione a tarefa do Azure Key Vault ao pipeline. Substitua os espaços reservados pelo nome da conexão de serviço que você criou anteriormente e o nome do cofre de chaves. Seu arquivo YAML deve ser semelhante ao exemplo a seguir:

   trigger:
   - main
   
   pool:
     vmImage: ubuntu-latest
   
   steps:
   - task: AzureKeyVault@2
     displayName: Azure Key Vault
     inputs:
       azureSubscription: 'SERVICE_CONNECTION_NAME'
       KeyVaultName: 'KEY_VAULT_NAME'
       SecretsFilter: '*'
       RunAsPreJob: false
   

7. Adicione as tarefas a seguir para copiar e publicar o segredo. Este exemplo é somente para fins de demonstração. Não o utilize num ambiente de produção.

   trigger:
   - main
   
   pool:
     vmImage: ubuntu-latest
   
   steps:
   - task: AzureKeyVault@2
     displayName: Azure Key Vault
     inputs:
       azureSubscription: 'SERVICE_CONNECTION_NAME'
       KeyVaultName: 'KEY_VAULT_NAME'
       SecretsFilter: '*'
       RunAsPreJob: false
   
   - task: CmdLine@2
     displayName: Create file
     inputs:
       script: 'echo $(SECRET_NAME) > secret.txt'
   
   - task: CopyFiles@2
     displayName: Copy file
     inputs:
       Contents: secret.txt
       targetFolder: '$(Build.ArtifactStagingDirectory)'
   
   - task: PublishBuildArtifacts@1
     displayName: Publish Artifact
     inputs:
       PathtoPublish: '$(Build.ArtifactStagingDirectory)'
       ArtifactName: 'drop'
       publishLocation: 'Container'
   

8. Selecione Salvar e executar e, em seguida, selecione mais uma vez para confirmar suas alterações e acionar o pipeline. Se solicitado, selecione Permitir conceder acesso ao pipeline aos recursos do Azure.

9. Depois que o pipeline for iniciado, selecione a tarefa CmdLine para exibir os logs.

   

10. Quando a execução do pipeline estiver finalizada, retorne ao resumo do pipeline e selecione o artefato publicado.

    

11. Selecione remover>secret.txt para baixar o arquivo.

    

12. Abra o arquivo de texto baixado. Ele deve conter o segredo recuperado do cofre de chaves.

1. Entre no Azure DevOps e vá para o projeto.

2. Selecione Pipelines e escolha Novo Pipeline.

3. Selecione Usar o editor clássico para criar um pipeline clássico.

4. Selecione Azure Repos Git, selecione o repositório e a ramificação padrão e selecione Continuar.

5. Selecione o modelo de pipeline do .Net Desktop.

6. Para este exemplo, somente as duas últimas tarefas são necessárias. Segure Ctrl e selecione as cinco primeiras tarefas. Clique com o botão direito do mouse e selecione Remover tarefas selecionadas para excluí-las.

   

7. Selecione + para adicionar uma nova tarefa. Pesquise a tarefa linha de comando , selecione-a e, em seguida, selecione Adicionar. Configure a tarefa:

   • Nome de exibição: Insira Criar arquivo.
   • Script: Digite echo $(SECRET_NAME) > secret.txt.

   

8. Selecione + para adicionar uma nova tarefa. Pesquise a tarefa do Azure Key Vault , selecione-a e selecione Adicionar. Configure a tarefa:

   • Display name: Enter Azure Key Vault.
   • Assinatura do Azure: Selecione a conexão de serviço que você criou anteriormente.
   • Cofre de chaves: selecione o cofre de chaves.
   • Filtro de segredos: insira uma lista separada por vírgulas de nomes secretos ou use um asterisco (*) para baixar todos os segredos.

   

9. Selecione a tarefa Copiar arquivos e configure os seguintes campos:

   • Nome de exibição: Digite Copiar Arquivo.
   • Conteúdo: Insirasecret.txt.
   • Pasta de Destino: Insira $(build.artifactstagingdirectory).

   

10. Selecione a tarefa Publicar Artefatos e configure os seguintes campos:

    • Nome de exibição: digite Artefato de Publicação.
    • Caminho para publicação: Digite $(build.artifactstagingdirectory).
    • Nome do artefato: Inserir drop.
    • Local de publicação do artefato: Digite Azure Pipelines.

    

11. Selecione Salvar e enfileirar e, em seguida, selecione Executar para iniciar o pipeline.

12. Depois que a execução do pipeline estiver finalizada, retorne ao resumo do pipeline e selecione o artefato publicado.

13. Selecione soltar>secret.txt para baixar o artefato.

    

14. Abra o arquivo de texto baixado. Ele deve conter o segredo que foi recuperado do cofre de chaves.