Proteger segredos no Azure PowerShell

Quando gere recursos do Azure com Azure PowerShell, a saída dos comandos pode expor informações sensíveis que deve proteger. Por exemplo, o Azure PowerShell pode mostrar palavras-passe, tokens ou chaves na saída quando os cria. Alguns comandos também podem armazenar a saída em arquivos de log. Este cenário é frequentemente o caso ao trabalhar com GitHub Actions ou Azure DevOps.

Entenda o risco

É fundamental proteger segredos e informações confidenciais. Quando mal manuseados, podem tornar-se acessíveis a utilizadores não autorizados. Erros do usuário, como scripts configurados incorretamente ou inserção de segredos em texto sem formatação como valores para parâmetros, podem expor detalhes confidenciais em logs, histórico de comandos ou sistemas de controle de versão.

Mensagem de aviso

O Azure PowerShell apresenta uma mensagem de aviso por defeito a partir da versão 12.0.0 para ajudar a proteger informações sensíveis quando identifica um potencial segredo na saída de um comando.

Desativar a mensagem de aviso

No exemplo a seguir, o Update-AzConfig cmdlet é usado para desabilitar a mensagem de aviso.

Update-AzConfig -DisplaySecretsWarning $false

Você também pode usar a $Env:AZURE_CLIENTS_SHOW_SECRETS_WARNING variável de ambiente para desativar a mensagem de aviso.

Set-Item -Path Env:\AZURE_CLIENTS_SHOW_SECRETS_WARNING -Value $false

Transição de Strings para SecureStrings

Para melhorar a segurança e reduzir o risco de vazamentos de credenciais, o Get-AzAccessToken tipo de saída padrão do cmdlet mudou de texto sem formatação String para um SecureString, começando com Az.Accounts versão 5.0.0 e Az versão 14.0.0.

Os tokens de acesso são credenciais sensíveis que concedem acesso a recursos do Azure. Devolvê-los como texto simples aumenta o risco de exposição acidental em logs, transcrições ou sessões interativas. Ao alternar para SecureString, o cmdlet ajuda a impedir que os tokens sejam exibidos ou armazenados de modo inseguro.

Se o seu cenário requer o token em texto simples, o que é fortemente desencorajado, você pode converter o SecureString manualmente. Para obter orientação, consulte Como posso converter um SecureString em texto sem formatação no PowerShell?.