Acessar um cofre de chaves privado do pipeline

Acessar um cofre de chaves privado do Azure DevOps

Esta seção aborda dois métodos para acessar um cofre de chaves privado de Azure DevOps.

O primeiro método usa grupos de variáveis para vincular e mapear segredos do cofre de chaves, seguido pela configuração do acesso de entrada, permitindo intervalos de IP estáticos. Azure Pipelines usa o IP público Azure DevOps ao consultar um cofre de chaves de um grupo de variáveis, portanto, você precisa permitir esses intervalos de IP no firewall do cofre de chaves.

O segundo método adiciona dinamicamente o endereço IP do agente hospedado pela Microsoft à lista de permissões do firewall do cofre de chaves no início do pipeline, consulta o cofre de chaves e, por fim, remove o IP. Esse método é apenas para fins de demonstração e não é recomendado para uso em produção.

Etapa 1: Mapear segredos do cofre de chaves com um grupo de variáveis

Etapa 2: Configurar o acesso de entrada do Azure DevOps

Depois de configurar o grupo de variáveis, permita o acesso de entrada do Azure DevOps ao cofre de chaves, adicionando os intervalos de IP estáticos da região geográfica da sua organização.

1. Entre na sua organização do Azure DevOps.

2. Selecione Configurações da organização.

3. Vá para Visão geral para encontrar a localização geográfica.

   

4. Encontre os intervalos geográficos de IPv4.

   Importante

   Para conexões de entrada dos Estados Unidos, adicione os intervalos de IP para todas as regiões dos Estados Unidos.

5. Configure o cofre de chaves para permitir o acesso de intervalos de IPs estáticos.

Etapa 3: consultar um cofre de chaves privado com um grupo de variáveis

Com o grupo de variáveis vinculado e o acesso de entrada configurado, use o pipeline a seguir para consultar seu cofre de chaves privado e copiar o segredo recuperado. O Azure Pipelines usa seu IP público para consultar o Key Vault a partir de um grupo de variáveis, portanto, verifique se você tenha configurado o acesso de entrada antes de executar o pipeline.

variables:
-  group: mySecret-VG

steps:
- task: CmdLine@2
  inputs:
    script: 'echo $(mySecret) > secret.txt'

- task: CopyFiles@2
  inputs:
    Contents: secret.txt
    targetFolder: '$(Build.ArtifactStagingDirectory)'

- task: PublishBuildArtifacts@1
  inputs:
    PathtoPublish: '$(Build.ArtifactStagingDirectory)'
    ArtifactName: 'drop'
    publishLocation: 'Container'

Método alternativo: permitir dinamicamente o IP do agente hospedado em Microsoft

Nessa abordagem, o pipeline consulta o IP do agente hospedado pela Microsoft ao iniciar, adiciona esse IP à lista de permissões do firewall do Key Vault, executa as tarefas do Key Vault e, em seguida, remove o IP antes de o pipeline terminar.

- task: AzurePowerShell@5
  displayName: 'Allow agent IP'
  inputs:
    azureSubscription: 'YOUR_SERVICE_CONNECTION_NAME'
    azurePowerShellVersion: LatestVersion
    ScriptType: InlineScript
    Inline: |
     $ip = (Invoke-WebRequest -uri "http://ifconfig.me/ip").Content
     Add-AzKeyVaultNetworkRule -VaultName "YOUR_KEY_VAULT_NAME" -ResourceGroupName "YOUR_RESOURCE_GROUP_NAME" -IpAddressRange $ip
     echo "##vso[task.setvariable variable=agentIP]$ip"

- task: AzureKeyVault@2
  inputs:
    azureSubscription: 'YOUR_SERVICE_CONNECTION_NAME'
    KeyVaultName: 'YOUR_KEY_VAULT_NAME'
    SecretsFilter: '*'
    RunAsPreJob: false

- task: AzurePowerShell@5
  displayName: 'Remove agent IP'
  inputs:
    azureSubscription: 'YOUR_SERVICE_CONNECTION_NAME'
    azurePowerShellVersion: LatestVersion
    ScriptType: InlineScript
    Inline: |
     $ipRange = "$(agentIP)/32"
     Remove-AzKeyVaultNetworkRule -VaultName "YOUR_KEY_VAULT_NAME" -IpAddressRange $ipRange
  condition: succeededOrFailed()

Acessar um cofre de chaves privadas de um agente auto-hospedado

Para acessar um cofre de chaves privado a partir de um agente do Azure Pipelines, use um agente auto-hospedado (Windows, Linux ou Mac) ou agentes do Conjuntos de Dimensionamento de Máquinas Virtuais. Agentes hospedados pela Microsoft, como outros serviços genéricos de computação, não estão incluídos na lista de serviços confiáveis do cofre de chaves.

Para estabelecer conectividade com seu cofre de chaves privado, configure um ponto de extremidade privado para acesso direto. Esse endpoint deve ser roteável, e seu nome DNS privado deve poder ser resolvido a partir do agente de pipeline auto-hospedado.

Etapa 1: configurar o acesso de entrada de um agente auto-hospedado

1. Siga as instruções para criar uma rede virtual.

2. No portal Azure, use a barra de pesquisa na parte superior da página para encontrar seu Azure cofre de chaves.

3. Selecione seu cofre de chaves e vá para Configurações>Rede.

4. Selecione Conexões de ponto de extremidade privado e, em seguida, selecione Criar para criar um novo ponto de extremidade privado.

   

5. Selecione o grupo de recursos que hospeda a rede virtual que você criou anteriormente. Insira um nome e um nome de interface de rede para sua instância e selecione a mesma região que a rede virtual que você criou anteriormente. Selecione Próximo.

   

6. Para o método Connection, selecione Conectar para um recurso de Azure em meu diretório. Para o tipo de recurso, escolha Microsoft.KeyVault/vaults no menu suspenso. Selecione seu recurso no menu suspenso. O sub-recurso de destino é preenchido automaticamente com o cofre de valores. Selecione Próximo.

   

7. Na guia Rede Virtual, selecione o virtual network e a sub-rede que você criou anteriormente e deixe o restante dos campos como padrão. Selecione Próximo.

8. Aceite as configurações padrão nas abas DNS e Etiquetas. Na guia Revisar + Criar , selecione Criar.

9. Depois que o recurso for implantado, vá para o cofre de chaves e selecione Configurações>Rede>Conexões de ponto de extremidade privado. Seu ponto de extremidade privado deve ser listado com o estado de conexão como Aprovado. Se você vincular a um recurso de Azure em um diretório diferente, precisará aguardar que o proprietário do recurso aprove sua solicitação de conexão.

   

Etapa 2: Permitir sua rede virtual

Com o ponto de extremidade privado configurado, permita, nas configurações de firewall do cofre de chaves, a rede virtual que hospeda seu agente hospedado localmente.

1. Vá para o Azure portal e localize seu Azure cofre de chaves.

2. Selecione Configurações>Rede, e verifique se você está na guia Firewalls e redes virtuais.

3. Selecione Adicionar rede virtual>Adicionar redes virtuais existentes.

4. Selecione a sua assinatura no menu suspenso e, em seguida, selecione a rede virtual que você criou anteriormente. Em seguida, selecione as sub-redes.

5. Selecione Adicionar e role até a parte inferior da página e selecione Aplicar para salvar suas alterações.

   

Etapa 3: consultar um cofre de chaves privado em um agente auto-hospedado

Com a rede virtual habilitada, use o pipeline a seguir para consultar o cofre de chaves privado por meio do grupo de variáveis vinculado, a partir de um agente auto-hospedado:

pool: Self-hosted-pool

variables:
  group: mySecret-VG

steps:
- task: CmdLine@2
  inputs:
    script: 'echo $(mySecret) > secret.txt'

- task: CopyFiles@2
  inputs:
    Contents: secret.txt
    targetFolder: '$(Build.ArtifactStagingDirectory)'

- task: PublishBuildArtifacts@1
  inputs:
    PathtoPublish: '$(Build.ArtifactStagingDirectory)'
    ArtifactName: 'drop'
    publishLocation: 'Container'

Se você não quiser conceder acesso de entrada Azure DevOps ao cofre de chaves privado, use a tarefa AzureKeyVault para consultar diretamente o cofre de chaves. Nesse caso, verifique se a rede virtual que hospeda seu agente auto-hospedado está permitida nas configurações de firewall do cofre de chaves.

pool: Self-hosted-pool

steps:
- task: AzureKeyVault@2
  inputs:
    azureSubscription: '$(SERVICE_CONNECTION_NAME)'
    keyVaultName: $(KEY_VAULT_NAME)
    SecretsFilter: '*'

- task: CmdLine@2
  inputs:
    script: 'echo $(mySecret) > secret.txt'

- task: CopyFiles@2
  inputs:
    Contents: secret.txt
    targetFolder: '$(Build.ArtifactStagingDirectory)'

- task: PublishBuildArtifacts@1
  inputs:
    PathtoPublish: '$(Build.ArtifactStagingDirectory)'
    ArtifactName: 'drop'
    publishLocation: 'Container'