Доступ к хранилищу закрытых ключей из конвейера

Доступ к хранилищу закрытых ключей из Azure Devops

В этом разделе мы рассмотрим два метода доступа к хранилищу закрытых ключей из Azure DevOps. Во-первых, мы будем использовать группы переменных для связывания и сопоставления секретов из нашего хранилища ключей, затем настроим входящий доступ, разрешив статические диапазоны IP-адресов. Мы устанавливаем входящий доступ, так как Azure Pipelines использует общедоступный опубликованный IP-адрес Azure DevOps при обращении к Azure Key Vault из переменной группы. Поэтому, добавив входящие подключения к брандмауэру Azure Key Vault, мы можем успешно подключиться к Azure Key Vault.

Во втором подходе мы продемонстрируем, как динамически добавить IP-адрес агента, размещенного на Microsoft, в разрешенный список брандмауэра хранилища ключей, выполнить запрос к хранилищу ключей и затем удалить IP-адрес после завершения процесса. Этот второй подход предназначен для демонстрационных целей и не рекомендуется Azure Pipelines.

1. Соотнесение секретов хранилища ключей с группой переменных

2. Настройка входящего доступа из Azure DevOps

Чтобы включить доступ к хранилищу ключей из Azure DevOps, необходимо предоставить доступ из определенных статических диапазонов IP-адресов. Эти диапазоны определяются географическим расположением организации Azure DevOps.

1. Войдите в организацию Azure DevOps.

2. Выберите Параметры организации.

3. Перейдите к обзору, где вы найдете географическое расположение, указанное в нижней части страницы.

   

4. Найдите диапазоны географических IP-адресов V4.

   Внимание

   Для входящих подключений Сша обязательно добавьте диапазоны IP-адресов для всех регионов США.

5. Настройте хранилище ключей, чтобы разрешить доступ из статических диапазонов IP-адресов.

3. Запрос хранилища закрытых ключей с помощью группы переменных

В этом примере мы используем группу переменных, настроенную ранее и авторизованную с помощью субъекта-службы, для запроса и копирования секрета из нашего частного хранилища ключей Azure с помощью связанной группы переменных. Azure Pipelines использует опубликованный общедоступный IP-адрес при запросе Azure Key Vault из группы переменных, поэтому убедитесь, что вы настроили входящий доступ для правильной работы:

variables:
-  group: mySecret-VG

steps:
- task: CmdLine@2
  inputs:
    script: 'echo $(mySecret) > secret.txt'

- task: CopyFiles@2
  inputs:
    Contents: secret.txt
    targetFolder: '$(Build.ArtifactStagingDirectory)'

- task: PublishBuildArtifacts@1
  inputs:
    PathtoPublish: '$(Build.ArtifactStagingDirectory)'
    ArtifactName: 'drop'
    publishLocation: 'Container'

Альтернативный метод — разрешать динамически IP-адреса агентов, размещенных Microsoft.

В этом втором подходе мы начнем с запроса IP-адреса агента, размещенного корпорацией Майкрософт, в начале нашего потока. Затем мы добавим его в список разрешений хранилища ключей, запустите остальные задачи и, наконец, удалите IP-адрес из списка разрешений брандмауэра хранилища ключей.

- task: AzurePowerShell@5
  displayName: 'Allow agent IP'
  inputs:
    azureSubscription: 'YOUR_SERVICE_CONNECTION_NAME'
    azurePowerShellVersion: LatestVersion
    ScriptType: InlineScript
    Inline: |
     $ip = (Invoke-WebRequest -uri "http://ifconfig.me/ip").Content
     Add-AzKeyVaultNetworkRule -VaultName "YOUR_KEY_VAULT_NAME" -ResourceGroupName "YOUR_RESOURCE_GROUP_NAME" -IpAddressRange $ip
     echo "##vso[task.setvariable variable=agentIP]ip"

- task: AzureKeyVault@2
  inputs:
    azureSubscription: 'YOUR_SERVICE_CONNECTION_NAME'
    KeyVaultName: 'YOUR_KEY_VAULT_NAME'
    SecretsFilter: '*'
    RunAsPreJob: false

- task: AzurePowerShell@5
  displayName: 'Remove agent IP'
  inputs:
    azureSubscription: 'YOUR_SERVICE_CONNECTION_NAME'
    azurePowerShellVersion: LatestVersion
    ScriptType: InlineScript
    Inline: |
     $ipRange = $env:agentIP + "/32"
     Remove-AzKeyVaultNetworkRule -VaultName "YOUR_KEY_VAULT_NAME" -IpAddressRange $ipRange
  condition: succeededOrFailed()

Доступ к хранилищу приватных ключей из самостоятельно размещённого агента

Чтобы иметь возможность получать доступ к хранилищу закрытых ключей из агента Azure Pipelines, вам потребуется использовать самостоятельно размещенный агент (Windows, Linux, Mac) или агенты в масштабируемом наборе. Это связано с тем, что агенты на платформе Microsoft, как и другие универсальные вычислительные службы, не включаются в список доверенных служб хранилища ключей.

Чтобы установить подключение к вашему хранилищу закрытых ключей, необходимо предоставить прямое соединение, настроив частную конечную точку для вашего хранилища ключей. Эта конечная точка должна быть маршрутизируемой и иметь свое частное DNS-имя, разрешаемое со стороны агента на собственном хостинге.

1. Настройка входящего доступа от агента, размещенного локально

1. Выполните указанную инструкцию по созданию виртуальной сети.

2. В портал Azure используйте панель поиска в верхней части страницы, чтобы найти Azure Key Vault.

3. Обнаружив хранилище ключей в результатах поиска, выберите его и перейдите в раздел Настройки>Сеть.

4. Выберите подключения к частной конечной точке и нажмите кнопку "Создать ", чтобы создать новую частную конечную точку.

   

5. Выберите группу ресурсов, в которую размещена виртуальная сеть, созданная ранее. Укажите имя экземпляра и имя сетевого интерфейса и убедитесь, что вы выбрали тот же регион, что и созданная ранее виртуальная сеть. Нажмите кнопку "Далее", когда вы закончите.

   

6. Выберите "Подключиться к ресурсу Azure" в моем каталоге для метода подключения, а затем выберите Microsoft.KeyVault/vaults в раскрывающемся меню для типа ресурса. Выберите ваш ресурс в раскрывающемся меню. Целевой подресурс будет автоматически заполнен значением: хранилище. Нажмите кнопку "Далее", когда вы закончите.

   

7. На вкладке виртуальная сеть выберите виртуальную сеть и подсеть, созданную ранее, и оставьте остальные поля по умолчанию. Нажмите кнопку "Далее", когда вы закончите.

8. Перейдите на вкладки DNS и теги , принимая параметры по умолчанию. На вкладке «Просмотр и создание» нажмите «Создать», когда вы закончите.

9. После развертывания ресурса перейдите к вашему хранилищу ключей, затем в >, Сеть и >, где ваша частная конечная точка должна быть отображена с утвержденным состоянием подключения подключения. Если вы связываетесь с ресурсом Azure в другом каталоге, вам потребуется подождать, пока владелец ресурса утвердит запрос на подключение.

   

2. Разрешите вашу виртуальную сеть

1. Перейдите к портал Azure и найдите Azure Key Vault.

2. Выберите "Параметры>сети" и убедитесь, что вы находитесь на вкладке "Брандмауэры и виртуальные сети".

3. Выберите "Добавить виртуальную сеть>" "Добавить существующие виртуальные сети".

4. Выберите свою подписку в раскрывающемся меню, а затем выберите виртуальную сеть, созданную ранее, и выберите подсети.

5. Нажмите кнопку "Добавить ", а затем прокрутите страницу внизу страницы и нажмите кнопку "Применить ", чтобы сохранить изменения.

   

3. Запрос в хранилище закрытых ключей с использованием самостоятельно размещённого агента

В следующем примере агент, настроенный на виртуальной машине виртуальной сети, используется для запроса хранилища закрытых ключей через группу переменных:

pool: Self-hosted-pool

variables:
  group: mySecret-VG

steps:
- task: CmdLine@2
  inputs:
    script: 'echo $(mySecret) > secret.txt'

- task: CopyFiles@2
  inputs:
    Contents: secret.txt
    targetFolder: '$(Build.ArtifactStagingDirectory)'

- task: PublishBuildArtifacts@1
  inputs:
    PathtoPublish: '$(Build.ArtifactStagingDirectory)'
    ArtifactName: 'drop'
    publishLocation: 'Container'

Если вы предпочитаете не предоставлять входящий доступ Azure DevOps к хранилищу закрытых ключей, можно использовать задачу AzureKeyVault для запроса хранилища ключей. Однако необходимо убедиться, что вы разрешаете виртуальной сети, размещающей ваш агент, доступ в настройках брандмауэра хранилища ключей.

pool: Self-hosted-pool

steps:
- task: AzureKeyVault@2
  inputs:
    azureSubscription: '$(SERVICE_CONNECTION_NAME)'
    keyVaultName: $(KEY_VAULT_NAME)
    SecretsFilter: '*'

- task: CmdLine@2
  inputs:
    script: 'echo $(mySecret) > secret.txt'

- task: CopyFiles@2
  inputs:
    Contents: secret.txt
    targetFolder: '$(Build.ArtifactStagingDirectory)'

- task: PublishBuildArtifacts@1
  inputs:
    PathtoPublish: '$(Build.ArtifactStagingDirectory)'
    ArtifactName: 'drop'
    publishLocation: 'Container'