Zugreifen auf einen privaten Schlüsseltresor über Ihre Pipeline

Zugriff auf einen privaten Key Vault über Azure DevOps.

In diesem Abschnitt werden zwei Methoden für den Zugriff auf einen privaten Schlüsseltresor über Azure DevOps gezeigt. Zunächst verwenden wir Variablengruppen, um Geheimnisse aus dem Schlüsseltresor zu verknüpfen und zuzuordnen. Anschließend richten wir eingehenden Zugriff ein, indem wir statische IP-Bereiche zulassen. Wir richten eingehenden Zugriff ein, da Azure Pipelines die bereitgestellte öffentliche Azure DevOps-IP-Adresse verwendet, wenn die Azure Key Vault-Instanz über eine Variablengruppe abgefragt wird. Daher können wir durch Hinzufügen eingehender Verbindungen zur Azure Key Vault-Firewall erfolgreich eine Verbindung mit unserer Azure Key Vault-Instanz herstellen.

Für den zweiten Ansatz wird gezeigt, wie die IP-Adresse des von Microsoft gehosteten Agents dynamisch der Firewall-Zulassungsliste des Schlüsseltresors hinzugefügt, der Schlüsseltresor abgefragt und die IP-Adresse nach Abschluss des Vorgangs wieder entfernt wird. Dieser zweite Ansatz dient lediglich zu Demonstrationszwecken und ist nicht der von Azure Pipelines empfohlene Ansatz.

1. Zuordnen von Schlüsseltresorschlüsseln mit einer Variablengruppe

2. Konfigurieren des eingehenden Zugriffs über Azure DevOps

Um Zugriff auf Ihren Schlüsseltresor über Azure DevOps zu ermöglichen, müssen Sie Zugriff über bestimmte statische IP-Bereiche gewähren. Diese Bereiche werden durch den geografischen Standort Ihrer Azure DevOps-Organisation bestimmt.

1. Melden Sie sich bei Ihrer Azure DevOps-Organisation an.

2. Wählen Sie Organisationseinstellungen aus.

3. Navigieren Sie zu Übersicht. Dort ist im unteren Bereich der Seite der geografische Standort angegeben.

   

4. Ermitteln Sie Ihre geografischen IPv4-Bereiche.

   Wichtig

   Achten Sie bei eingehenden Verbindungen in den USA darauf, die IP-Bereiche für alle US-Regionen hinzuzufügen.

5. Konfigurieren Sie Ihren Schlüsseltresor, um Zugriff über statische IP-Bereiche zu ermöglichen.

3. Abfragen eines privaten Schlüsseltresors mit einer Variablengruppe

In diesem Beispiel verwenden wir die zuvor eingerichtete und mit einem Dienstprinzipal autorisierte Variablengruppe, um unser Geheimnis aus unserer privaten Azure Key Vault-Instanz einfach mithilfe der verknüpften Variablengruppe abzufragen und zu kopieren. Azure Pipelines verwendet beim Abfragen der Azure Key Vault-Instanz über eine Variablengruppe die bereitgestellte öffentliche IP-Adresse. Stellen Sie daher sicher, dass Sie eingehenden Zugriff konfiguriert haben, damit dies ordnungsgemäß funktioniert:

variables:
-  group: mySecret-VG

steps:
- task: CmdLine@2
  inputs:
    script: 'echo $(mySecret) > secret.txt'

- task: CopyFiles@2
  inputs:
    Contents: secret.txt
    targetFolder: '$(Build.ArtifactStagingDirectory)'

- task: PublishBuildArtifacts@1
  inputs:
    PathtoPublish: '$(Build.ArtifactStagingDirectory)'
    ArtifactName: 'drop'
    publishLocation: 'Container'

Alternative Methode: Dynamisches Zulassen der IP-Adresse des von Microsoft gehosteten Agents

Bei diesem zweiten Ansatz wird am Anfang der Pipeline zunächst die IP-Adresse des von Microsoft gehosteten Agents abgefragt. Danach fügen wir sie der Zulassungsliste für den Schlüsseltresor hinzu, führen die verbleibenden Aufgaben aus, und entfernen die IP-Adresse anschließend wieder aus der Firewall-Zulassungsliste des Schlüsseltresors.

- task: AzurePowerShell@5
  displayName: 'Allow agent IP'
  inputs:
    azureSubscription: 'YOUR_SERVICE_CONNECTION_NAME'
    azurePowerShellVersion: LatestVersion
    ScriptType: InlineScript
    Inline: |
     $ip = (Invoke-WebRequest -uri "http://ifconfig.me/ip").Content
     Add-AzKeyVaultNetworkRule -VaultName "YOUR_KEY_VAULT_NAME" -ResourceGroupName "YOUR_RESOURCE_GROUP_NAME" -IpAddressRange $ip
     echo "##vso[task.setvariable variable=agentIP]ip"

- task: AzureKeyVault@2
  inputs:
    azureSubscription: 'YOUR_SERVICE_CONNECTION_NAME'
    KeyVaultName: 'YOUR_KEY_VAULT_NAME'
    SecretsFilter: '*'
    RunAsPreJob: false

- task: AzurePowerShell@5
  displayName: 'Remove agent IP'
  inputs:
    azureSubscription: 'YOUR_SERVICE_CONNECTION_NAME'
    azurePowerShellVersion: LatestVersion
    ScriptType: InlineScript
    Inline: |
     $ipRange = $env:agentIP + "/32"
     Remove-AzKeyVaultNetworkRule -VaultName "YOUR_KEY_VAULT_NAME" -IpAddressRange $ipRange
  condition: succeededOrFailed()

Zugreifen auf einen privaten Schlüsseltresor über einen selbstgehosteten Agent

Um über einen Azure Pipelines-Agent auf einen privaten Schlüsseltresor zugreifen zu können, müssen Sie entweder einen selbstgehosteten Agent (Windows, Linux, Mac) oder Agents für Azure-VM-Skalierungsgruppen verwenden. Das liegt daran, dass von Microsoft gehostete Agents (genau wie andere generische Computedienste) nicht in der Liste vertrauenswürdiger Dienste des Schlüsseltresors enthalten sind.

Um eine Verbindung mit Ihrem privaten Schlüsseltresor herzustellen, müssen Sie eine Sichtverbindung einrichten, indem Sie einen privaten Endpunkt für Ihren Schlüsseltresor konfigurieren. Dieser Endpunkt muss routingfähig sein, und sein privater DNS-Name muss über den selbstgehosteten Pipeline-Agent auflösbar sein.

1. Konfigurieren des eingehenden Zugriffs über einen selbstgehosteten Agent

1. Folgen Sie der bereitgestellten Anleitung zum Erstellen eines virtuellen Netzwerks.

2. Suchen Sie im Azure-Portal über die Suchleiste oben auf der Seite nach Ihrer Azure Key Vault-Instanz.

3. Wählen Sie Ihren Schlüsseltresor in den Suchergebnissen aus, und navigieren Sie dann zu Einstellungen>Netzwerk.

4. Wählen Sie Private Endpunktverbindungen und anschließend Erstellen aus, um einen neuen privaten Endpunkt zu erstellen.

   

5. Wählen Sie die Ressourcengruppe aus, die das zuvor von Ihnen erstellte virtuelle Netzwerk hostet. Geben Sie unter Name einen Namen und unter Name der Netzwerkschnittstelle einen Namen für die Netzwerkschnittstelle Ihrer Instanz an, und wählen Sie unter Region die gleiche Region aus wie für das zuvor erstellte virtuelle Netzwerk. Wählen Sie Weiter aus, wenn Sie fertig sind.

   

6. Wählen Sie unter Verbindungsmethode die Option Mit einer Azure-Ressource in meinem Verzeichnis verbinden und anschließend im Dropdownmenü für den Ressourcentyp die Option Microsoft.KeyVault/vaults aus. Wählen Sie im Dropdownmenü Ressource Ihre Ressource aus. Unter Zielunterressource wird automatisch der Wert Tresor eingefügt. Wählen Sie Weiter aus, wenn Sie fertig sind.

   

7. Wählen Sie auf der Registerkarte Virtuelles Netzwerk unter Virtuelles Netzwerk das virtuelle Netzwerk und unter Subnetz das Subnetz aus, die Sie zuvor erstellt haben, und behalten Sie in den restlichen Feldern die Standardeinstellungen bei. Wählen Sie Weiter aus, wenn Sie fertig sind.

8. Übernehmen Sie auf den Registerkarten DNS und Tags jeweils die Standardeinstellungen. Wählen Sie auf der Registerkarte Überprüfen + erstellen die Option Erstellen aus, wenn Sie so weit sind.

9. Wenn Ihre Ressource bereitgestellt wurde, navigieren Sie für Ihren Schlüsseltresor zu >Einstellungen>Netzwerk>Private Endpunktverbindungen. Der Verbindungsstatus Ihres privaten Endpunkts sollte Genehmigt lauten. Wenn Sie eine Verknüpfung mit einer Azure-Ressource in einem anderen Verzeichnis erstellen möchten, müssen Sie warten, bis der Ressourcenbesitzer Ihre Verbindungsanforderung genehmigt hat.

   

2. Zulassen Ihres virtuellen Netzwerks

1. Navigieren Sie im Azure-Portal zu Ihrer Azure Key Vault-Instanz.

2. Wählen Sie Einstellungen>Netzwerk aus, und vergewissern Sie sich, dass Sie sich auf der Registerkarte Firewalls und virtuelle Netzwerke befinden.

3. Wählen Sie Virtuelles Netzwerk hinzufügen>Vorhandene virtuelle Netzwerke hinzufügen aus.

4. Wählen Sie im Dropdownmenü Abonnement Ihr Abonnement aus. Wählen Sie dann das virtuelle Netzwerk aus, das Sie zuvor erstellt haben, und wählen Sie anschließend unter Subnetze Ihre Subnetze aus.

5. Wählen Sie Hinzufügen aus, wenn Sie so weit sind. Scrollen Sie anschließend auf der Seite nach unten, und wählen Sie Übernehmen aus, um Ihre Änderungen zu speichern.

   

3. Abfragen eines privaten Schlüsseltresors über einen selbstgehosteten Agent

Im folgenden Beispiel wird ein auf dem virtuellen Computer des virtuellen Netzwerks eingerichteter Agent verwendet, um den privaten Schlüsseltresor über die Variablengruppe abzufragen:

pool: Self-hosted-pool

variables:
  group: mySecret-VG

steps:
- task: CmdLine@2
  inputs:
    script: 'echo $(mySecret) > secret.txt'

- task: CopyFiles@2
  inputs:
    Contents: secret.txt
    targetFolder: '$(Build.ArtifactStagingDirectory)'

- task: PublishBuildArtifacts@1
  inputs:
    PathtoPublish: '$(Build.ArtifactStagingDirectory)'
    ArtifactName: 'drop'
    publishLocation: 'Container'

Wenn Sie Azure DevOps keinen eingehenden Zugriff auf Ihren privaten Schlüsseltresor gewähren möchten, können Sie die Aufgabe AzureKeyVault verwenden, um Ihren Schlüsseltresor abzufragen. Sie müssen jedoch in den Einstellungen der Schlüsseltresorfirewall das virtuelle Netzwerk zulassen, in dem Ihr Agent gehostet wird.

pool: Self-hosted-pool

steps:
- task: AzureKeyVault@2
  inputs:
    azureSubscription: '$(SERVICE_CONNECTION_NAME)'
    keyVaultName: $(KEY_VAULT_NAME)
    SecretsFilter: '*'

- task: CmdLine@2
  inputs:
    script: 'echo $(mySecret) > secret.txt'

- task: CopyFiles@2
  inputs:
    Contents: secret.txt
    targetFolder: '$(Build.ArtifactStagingDirectory)'

- task: PublishBuildArtifacts@1
  inputs:
    PathtoPublish: '$(Build.ArtifactStagingDirectory)'
    ArtifactName: 'drop'
    publishLocation: 'Container'