Aceda a um cofre de chaves privadas a partir do seu pipeline

Aceder a um cofre de chave privada a partir do Azure DevOps

Esta secção aborda dois métodos para aceder a um cofre de chave privada a partir do Azure DevOps.

O primeiro método utiliza grupos de variáveis para associar e mapear segredos do seu cofre de chaves e, em seguida, configurar o acesso de entrada, permitindo intervalos estáticos de endereços IP. O Azure Pipelines usa o IP público do Azure DevOps ao consultar um cofre de chaves de um grupo de variáveis, por isso é necessário permitir esses intervalos de IP no firewall do cofre de chaves.

O segundo método adiciona dinamicamente o endereço IP do agente hospedado pela Microsoft à lista de permissões do firewall do cofre de chaves no início do pipeline, consulta o cofre de chaves e, finalmente, remove o IP. Este método é apenas para fins de demonstração e não é recomendado para uso em produção.

Passo 1: Mapear segredos do cofre de chaves com um grupo de variáveis

Passo 2: Configurar o acesso de entrada a partir do Azure DevOps

Depois de configurar o seu grupo de variáveis, permita o acesso de entrada do Azure DevOps ao seu cofre de chaves adicionando os intervalos de IP estáticos para a região geográfica da sua organização.

1. Entre na sua organização do Azure DevOps.

2. Selecione Definições da organização.

3. Vá à Visão Geral para encontrar a localização geográfica.

   

4. Encontre os seus intervalos IP V4 geográficos.

   Importante

   Para ligações de entrada nos Estados Unidos, certifique-se de adicionar as faixas de IP para todas as regiões dos EUA.

5. Configure seu cofre de chaves para permitir o acesso a partir de intervalos de IP estáticos.

Passo 3: Consultar um cofre de chave privada com um grupo de variáveis

Com o grupo de variáveis ligado e o acesso de entrada configurado, use o pipeline seguinte para consultar o seu cofre de chave privada e copiar o segredo recuperado. Azure Pipelines usa o seu IP público para consultar o cofre de chaves a partir de um grupo de variáveis, por isso certifica-te de que configuras o acesso entrante antes de correr o pipeline.

variables:
-  group: mySecret-VG

steps:
- task: CmdLine@2
  inputs:
    script: 'echo $(mySecret) > secret.txt'

- task: CopyFiles@2
  inputs:
    Contents: secret.txt
    targetFolder: '$(Build.ArtifactStagingDirectory)'

- task: PublishBuildArtifacts@1
  inputs:
    PathtoPublish: '$(Build.ArtifactStagingDirectory)'
    ArtifactName: 'drop'
    publishLocation: 'Container'

Método alternativo: permitir dinamicamente IP de agente hospedado pela Microsoft

Nesta abordagem, o pipeline consulta o IP do agente alojado pela Microsoft ao iniciar, adiciona-o à lista de permissões da firewall do Key Vault, executa as tarefas do Key Vault e, em seguida, remove-o antes de o pipeline terminar.

- task: AzurePowerShell@5
  displayName: 'Allow agent IP'
  inputs:
    azureSubscription: 'YOUR_SERVICE_CONNECTION_NAME'
    azurePowerShellVersion: LatestVersion
    ScriptType: InlineScript
    Inline: |
     $ip = (Invoke-WebRequest -uri "http://ifconfig.me/ip").Content
     Add-AzKeyVaultNetworkRule -VaultName "YOUR_KEY_VAULT_NAME" -ResourceGroupName "YOUR_RESOURCE_GROUP_NAME" -IpAddressRange $ip
     echo "##vso[task.setvariable variable=agentIP]$ip"

- task: AzureKeyVault@2
  inputs:
    azureSubscription: 'YOUR_SERVICE_CONNECTION_NAME'
    KeyVaultName: 'YOUR_KEY_VAULT_NAME'
    SecretsFilter: '*'
    RunAsPreJob: false

- task: AzurePowerShell@5
  displayName: 'Remove agent IP'
  inputs:
    azureSubscription: 'YOUR_SERVICE_CONNECTION_NAME'
    azurePowerShellVersion: LatestVersion
    ScriptType: InlineScript
    Inline: |
     $ipRange = "$(agentIP)/32"
     Remove-AzKeyVaultNetworkRule -VaultName "YOUR_KEY_VAULT_NAME" -IpAddressRange $ipRange
  condition: succeededOrFailed()

Aceder a um cofre de chaves privadas a partir de um agente auto-hospedado

Para aceder a um cofre de chaves privadas a partir de um agente Azure Pipelines, use um agente auto-hospedado (Windows, Linux, ou Mac) ou agentes Conjuntos de Dimensionamento de Máquinas Virtuais. Agentes alojados pela Microsoft, tal como outros serviços de computação genéricos, não estão incluídos na lista de trusted services do Key Vault.

Para estabelecer conectividade ao seu cofre de chave privada, configure um endpoint privado para acesso em linha de visão . Este ponto final tem de ser roteável, e o respetivo nome DNS privado tem de poder ser resolvido pelo agente de pipeline autoalojado.

Passo 1: Configurar o acesso de entrada a partir de um agente auto-hospedado

1. Siga as instruções para criar uma rede virtual.

2. No portal Azure, use a barra de pesquisa no topo da página para encontrar o seu cofre de chaves Azure.

3. Selecione o seu cofre de chaves e depois vá para Definições>Rede.

4. Selecione Conexões de ponto de extremidade privado e, em seguida, selecione Criar para criar um novo ponto de extremidade privado.

   

5. Selecione o grupo de recursos que aloja a rede virtual que criou anteriormente. Introduza um nome e um nome de interface de rede para a sua instância, e certifique-se de que seleciona a mesma região da rede virtual que criou anteriormente. Selecione Avançar.

   

6. Para método de ligação, selecione Ligar a um recurso Azure no meu diretório. Para Tipo de recurso, escolha Microsoft.KeyVault/vaults no menu suspenso. Selecione o seu recurso no menu suspenso. O sub-recurso alvo é preenchido automaticamente com o cofre de valores. Selecione Avançar.

   

7. No separador Rede Virtual, selecione a virtual network e a sub-rede que criou anteriormente e deixe os restantes campos como predefinidos. Selecione Avançar.

8. Aceite as definições padrão nos separadores DNS e Tags. Na aba Rever + Criar, selecione Criar.

9. Depois de o seu recurso ser implementado, vá ao seu cofre de chaves e selecione Definições>Rede>Conexões privadas ao endpoint. O teu endpoint privado deve estar listado com o estado de Ligação como Aprovado. Se ligares a um recurso do Azure num diretório diferente, tens de esperar que o proprietário do recurso aprove o teu pedido de ligação.

   

Passo 2: Permita a sua rede virtual

Com o endpoint privado configurado, permita que a rede virtual que aloja o seu agente auto-hospedado esteja nas definições do firewall do cofre de chaves.

1. Vai ao portal Azure, e depois encontra o teu cofre de chaves Azure.

2. Seleciona Definições>Rede e certifica-te de que estás no separador Firewalls e redes virtuais .

3. Selecione Adicionar uma rede virtual>Adicionar redes virtuais existentes.

4. Selecione a sua subscrição no menu suspenso, selecione a rede virtual que criou anteriormente e depois selecione as suas sub-redes.

5. Selecione Adicionar, depois desça até ao final da página e selecione Aplicar para guardar as suas alterações.

   

Passo 3: Consultar um cofre de chaves privadas de um agente auto-hospedado

Com a rede virtual permitida, utilize o seguinte pipeline para consultar o cofre de chave privada através do grupo de variáveis ligadas a partir de um agente auto-hospedado:

pool: Self-hosted-pool

variables:
  group: mySecret-VG

steps:
- task: CmdLine@2
  inputs:
    script: 'echo $(mySecret) > secret.txt'

- task: CopyFiles@2
  inputs:
    Contents: secret.txt
    targetFolder: '$(Build.ArtifactStagingDirectory)'

- task: PublishBuildArtifacts@1
  inputs:
    PathtoPublish: '$(Build.ArtifactStagingDirectory)'
    ArtifactName: 'drop'
    publishLocation: 'Container'

Se não quiseres conceder a Azure DevOps acesso de entrada ao teu cofre de chaves privadas, usa a tarefa AzureKeyVault para consultar diretamente o cofre de chaves. Neste caso, certifica-te de que a rede virtual que aloja o teu agente auto-hospedado está permitida nas definições do firewall do cofre de chaves.

pool: Self-hosted-pool

steps:
- task: AzureKeyVault@2
  inputs:
    azureSubscription: '$(SERVICE_CONNECTION_NAME)'
    keyVaultName: $(KEY_VAULT_NAME)
    SecretsFilter: '*'

- task: CmdLine@2
  inputs:
    script: 'echo $(mySecret) > secret.txt'

- task: CopyFiles@2
  inputs:
    Contents: secret.txt
    targetFolder: '$(Build.ArtifactStagingDirectory)'

- task: PublishBuildArtifacts@1
  inputs:
    PathtoPublish: '$(Build.ArtifactStagingDirectory)'
    ArtifactName: 'drop'
    publishLocation: 'Container'