Aceda a um cofre de chaves privadas a partir do seu pipeline

Aceder a um cofre de chave privada a partir do Azure DevOps

Nesta secção, exploramos dois métodos para aceder a um cofre de chaves privadas a partir do Azure DevOps. Primeiro, usamos grupos de variáveis para ligar e mapear segredos do seu cofre de chaves, seguido de configurar o acesso de entrada permitindo intervalos de IP estáticos. Estabelecemos o acesso de entrada porque o Azure Pipelines utiliza o IP público de Azure DevOps fornecido quando consulta o cofre de chaves do Azure a partir de um grupo de variáveis. Ao adicionar conexões de entrada ao firewall do cofre de chaves, pode ligar-se com sucesso ao seu cofre de chaves do Azure.

Na segunda abordagem, demonstramos como adicionar dinamicamente o endereço IP do agente hospedado pela Microsoft à lista de autorização do firewall do cofre de chaves, consultar o cofre de chaves e, em seguida, remover o IP após a conclusão. Esta segunda abordagem é apenas para fins demonstrativos. Não recomendamos esta abordagem para Azure Pipelines.

Passo 1: Mapear segredos do cofre de chaves com um grupo de variáveis

Passo 2: Configurar o acesso de entrada a partir do Azure DevOps

Para habilitar o acesso ao seu cofre de chaves a partir do Azure DevOps, você deve conceder acesso a partir de intervalos de IP estáticos específicos. A localização geográfica da sua organização Azure DevOps determina estes intervalos.

1. Entre na sua organização do Azure DevOps.

2. Selecione Definições da organização.

3. Vá à Visão Geral para encontrar a localização geográfica.

   

4. Encontre os seus intervalos IP V4 geográficos.

   Importante

   Para ligações de entrada nos Estados Unidos, certifique-se de adicionar as faixas de IP para todas as regiões dos EUA.

5. Configure seu cofre de chaves para permitir o acesso a partir de intervalos de IP estáticos.

Passo 3: Consultar um cofre de chave privada com um grupo de variáveis

Neste exemplo, utiliza o grupo de variáveis que foi configurado anteriormente e autorizado com uma entidade de serviço para consultar e copiar o seu segredo do seu cofre de chaves privado do Azure, utilizando o grupo de variáveis associado. Azure Pipelines usa o IP público publicado quando consulta o cofre de chaves Azure de um grupo de variáveis, por isso certifica-te de que configuras o acesso de entrada para que esta ação funcione corretamente.

variables:
-  group: mySecret-VG

steps:
- task: CmdLine@2
  inputs:
    script: 'echo $(mySecret) > secret.txt'

- task: CopyFiles@2
  inputs:
    Contents: secret.txt
    targetFolder: '$(Build.ArtifactStagingDirectory)'

- task: PublishBuildArtifacts@1
  inputs:
    PathtoPublish: '$(Build.ArtifactStagingDirectory)'
    ArtifactName: 'drop'
    publishLocation: 'Container'

Método alternativo: permitir dinamicamente IP de agente hospedado pela Microsoft

Nesta segunda abordagem, consulta o IP do agente hospedado pela Microsoft no início do seu pipeline. Depois, adiciona-o à lista de permissões do cofre de chaves. Prossiga com as tarefas restantes e depois remova o IP da lista de permissões do firewall do Key Vault.

- task: AzurePowerShell@5
  displayName: 'Allow agent IP'
  inputs:
    azureSubscription: 'YOUR_SERVICE_CONNECTION_NAME'
    azurePowerShellVersion: LatestVersion
    ScriptType: InlineScript
    Inline: |
     $ip = (Invoke-WebRequest -uri "http://ifconfig.me/ip").Content
     Add-AzKeyVaultNetworkRule -VaultName "YOUR_KEY_VAULT_NAME" -ResourceGroupName "YOUR_RESOURCE_GROUP_NAME" -IpAddressRange $ip
     echo "##vso[task.setvariable variable=agentIP]ip"

- task: AzureKeyVault@2
  inputs:
    azureSubscription: 'YOUR_SERVICE_CONNECTION_NAME'
    KeyVaultName: 'YOUR_KEY_VAULT_NAME'
    SecretsFilter: '*'
    RunAsPreJob: false

- task: AzurePowerShell@5
  displayName: 'Remove agent IP'
  inputs:
    azureSubscription: 'YOUR_SERVICE_CONNECTION_NAME'
    azurePowerShellVersion: LatestVersion
    ScriptType: InlineScript
    Inline: |
     $ipRange = $env:agentIP + "/32"
     Remove-AzKeyVaultNetworkRule -VaultName "YOUR_KEY_VAULT_NAME" -IpAddressRange $ipRange
  condition: succeededOrFailed()

Aceder a um cofre de chaves privadas a partir de um agente auto-hospedado

Para aceder a um cofre de chaves privadas a partir de um agente Azure Pipelines, precisa de usar um agente auto-hospedado (Windows, Linux, ou Mac) ou agentes Conjuntos de Dimensionamento de Máquinas Virtuais. Este requisito deve-se ao facto de os agentes alojados da Microsoft, tal como outros serviços genéricos de computação, não estarem incluídos na lista de serviços fidedignos do cofre de chaves.

Para estabelecer conectividade com o seu cofre de chaves privadas, deve configurar um endpoint privado para o seu cofre de chaves para fornecer conectividade em linha de visão . Este endpoint deve ser routável e ter o seu nome de domínio privado resolvível a partir do agente do pipeline autohospedado.

Passo 1: Configurar o acesso de entrada a partir de um agente auto-hospedado

1. Siga as instruções para criar uma rede virtual.

2. No portal Azure, use a barra de pesquisa no topo da página para encontrar o seu cofre de chaves Azure.

3. Selecione o seu cofre de chaves e depois vá para Definições>Rede.

4. Selecione Conexões de ponto de extremidade privado e, em seguida, selecione Criar para criar um novo ponto de extremidade privado.

   

5. Selecione o grupo de recursos que aloja a rede virtual que criou anteriormente. Introduza um nome e um nome de interface de rede para a sua instância, e certifique-se de que seleciona a mesma região da rede virtual que criou anteriormente. Selecione Avançar.

   

6. Para método de ligação, selecione Ligar a um recurso Azure no meu diretório. Para Tipo de recurso, escolha Microsoft.KeyVault/vaults no menu suspenso. Selecione o seu recurso no menu suspenso. O sub-recurso alvo é preenchido automaticamente com o cofre de valores. Selecione Avançar.

   

7. No separador Rede Virtual, selecione a virtual network e a sub-rede que criou anteriormente e deixe os restantes campos como predefinidos. Selecione Avançar.

8. Aceite as definições padrão nos separadores DNS e Tags. Na aba Rever + Criar, selecione Criar.

9. Depois de o seu recurso ser implementado, vá ao seu cofre de chaves e selecione Definições>Rede>Conexões privadas ao endpoint. O teu endpoint privado deve estar listado com o estado de Ligação como Aprovado. Se ligares a um recurso do Azure num diretório diferente, tens de esperar que o proprietário do recurso aprove o teu pedido de ligação.

   

Passo 2: Permita a sua rede virtual

1. Vai ao portal Azure, e depois encontra o teu cofre de chaves Azure.

2. Seleciona Definições>Rede e certifica-te de que estás no separador Firewalls e redes virtuais .

3. Selecione Adicionar uma rede virtual>Adicionar redes virtuais existentes.

4. Selecione a sua subscrição no menu suspenso, selecione a rede virtual que criou anteriormente e depois selecione as suas sub-redes.

5. Selecione Adicionar, depois desça até ao final da página e selecione Aplicar para guardar as suas alterações.

   

Passo 3: Consultar um cofre de chaves privadas de um agente auto-hospedado

O exemplo seguinte utiliza um agente configurado na máquina virtual da rede virtual para consultar o cofre de chaves privadas através do grupo de variáveis.

pool: Self-hosted-pool

variables:
  group: mySecret-VG

steps:
- task: CmdLine@2
  inputs:
    script: 'echo $(mySecret) > secret.txt'

- task: CopyFiles@2
  inputs:
    Contents: secret.txt
    targetFolder: '$(Build.ArtifactStagingDirectory)'

- task: PublishBuildArtifacts@1
  inputs:
    PathtoPublish: '$(Build.ArtifactStagingDirectory)'
    ArtifactName: 'drop'
    publishLocation: 'Container'

Se não quiser conceder Azure DevOps acesso de entrada ao seu cofre de chaves privadas, pode usar a tarefa AzureKeyVault para consultar o seu cofre de chaves. Deve garantir que permita a rede virtual que aloja o seu agente nas definições de firewall do seu cofre de chaves.

pool: Self-hosted-pool

steps:
- task: AzureKeyVault@2
  inputs:
    azureSubscription: '$(SERVICE_CONNECTION_NAME)'
    keyVaultName: $(KEY_VAULT_NAME)
    SecretsFilter: '*'

- task: CmdLine@2
  inputs:
    script: 'echo $(mySecret) > secret.txt'

- task: CopyFiles@2
  inputs:
    Contents: secret.txt
    targetFolder: '$(Build.ArtifactStagingDirectory)'

- task: PublishBuildArtifacts@1
  inputs:
    PathtoPublish: '$(Build.ArtifactStagingDirectory)'
    ArtifactName: 'drop'
    publishLocation: 'Container'