Remarque
L’accès à cette page nécessite une autorisation. Vous pouvez essayer de vous connecter ou de modifier des répertoires.
L’accès à cette page nécessite une autorisation. Vous pouvez essayer de modifier des répertoires.
Azure DevOps Services | Azure DevOps Server | Azure DevOps Server 2022
Vous pouvez créer un groupe de variables qui lie des coffres de clés Azure existants et mappe les secrets de coffre de clés sélectionnés au groupe de variables. Seuls les noms des secrets sont mappés vers le groupe de variables, pas les valeurs des secrets. Quand les pipelines s’exécutent, ils sont liés au groupe de variables pour extraire les dernières valeurs secrètes du coffre au moment de l’exécution.
Toute modification apportée aux secrets existants dans le coffre-fort est automatiquement mise à la disposition de tous les pipelines qui utilisent le groupe de variables. Cependant, si des secrets sont ajoutés ou supprimés du coffre-fort, les groupes de variables associés ne sont pas automatiquement mis à jour. Vous devez explicitement mettre à jour les secrets à inclure dans le groupe de variables.
Bien que Key Vault prenne en charge le stockage et la gestion des clés cryptographiques et des certifications dans Azure, l'intégration des groupes de variables Azure Pipelines ne prend en charge que le mappage des secrets de coffre-fort de clés. Les clés de chiffrement et les certificats ne sont pas pris en charge.
Prérequis
| Produit | Exigences |
|---|---|
| Azure DevOps | - Un projet Azure DevOps . - Une Connexion de service Azure Resource Manager pour votre projet. - Permissions : - Pour utiliser des connexions de service : avoir au moins le rôle Utilisateur pour la connexion de service. - Pour créer un groupe de variables : avoir au moins une autorisation de bibliothèqueCréateur. |
| Azur | - Un compte Azure avec un abonnement actif.
Créez un compte gratuitement. - Permissions : Pour créer un coffre de clés : avoir au moins le rôle Propriétaire pour l’abonnement. |
Création d’un coffre de clés
Si vous n’avez pas encore de coffre de clés, vous pouvez en créer un comme suit :
- Dans le portail Azure, sélectionnez Créer une ressource.
- Recherchez et sélectionnez Key Vault, puis sélectionnez Créer.
- Sélectionnez votre abonnement.
- Sélectionnez un groupe de ressources existant ou créez-en un.
- Entrez un nom pour le coffre de clés.
- Sélectionnez une région.
- Sélectionnez l’onglet Accès et configuration .
- Sélectionnez Stratégie d'accès au coffre.
- Sélectionnez votre compte comme principal.
- Sélectionnez Vérifier + créer, puis Créer.
Créer le groupe de variables lié au coffre de clés
Dans votre projet Azure DevOps, sélectionnez Pipelines>Bibliothèque>+ Groupe de variables.
Sur la page Groupes de variables, entrez un nom et une description facultative pour le groupe de variables.
Activez la bascule Lier les secrets d'un coffre-fort de clés Azure en tant que variables.
Sélectionnez votre connexion de service, puis sélectionnez Autoriser.
Sélectionnez le nom de votre coffre de clés et activez Azure DevOps pour accéder au coffre de clés en sélectionnant Autoriser en regard du nom du coffre.
Sélectionnez + Ajouter et dans l’écran Choisir des secrets , sélectionnez les secrets de votre coffre pour le mappage à ce groupe de variables, puis sélectionnez OK.
Sélectionnez Enregistrer pour enregistrer le groupe de variables secrètes.
Les coffres de clés disposant d’autorisations de contrôle d’accès en fonction du rôle (RBAC) ne sont pas pris en charge. Le modèle d’autorisation de votre coffre de clés doit être défini sur la stratégie d’accès au coffre. Si vous utilisez un coffre de clés avec des autorisations RBAC, vous pouvez utiliser la solution de contournement suivante pour lier votre coffre de clés à votre groupe de variables :
Accédez au portail Azure, recherchez votre coffre de clés >contrôle d’accès (IAM), puis accordez à la connexion de service le rôle RBAC approprié (Utilisateur des secrets Key Vault ou Officier des secrets Key Vault selon votre scénario).
Remarque
Vérifiez que vous disposez du rôle Administrateur Key Vault pour créer des secrets.
Revenez à votre projet Azure DevOps, sélectionnezBibliothèque>.
Sélectionnez + Groupe de variables, puis entrez un nom pour votre groupe de variables.
Sélectionnez le bouton Lier les secrets d'un coffre de clés Azure en tant que variables pour l'activer.
Sélectionnez votre connexion de service, puis sélectionnez Autoriser.
Sélectionnez le nom de votre coffre de clés dans le menu déroulant.
Sélectionnez + Ajouter, choisissez votre secret, puis sélectionnez Ok.
Lorsque vous avez terminé, sélectionnez Enregistrer.
Remarque
Votre connexion de service doit disposer au moins d’autorisations Get et List sur le coffre de clés, que vous pouvez autoriser dans les étapes précédentes. Vous pouvez également fournir ces permissions à partir du portail Azure en suivant les étapes suivantes :
- Ouvrez Paramètres pour le coffre-fort de clés, puis sélectionnez Configuration de l'accès>Voir les stratégies d'accès.
- Sur la page des stratégies d'accès, si votre projet Azure Pipelines n'est pas répertorié sous Applications avec au moins les permissions Obtenir et Lister, sélectionnez Créer.
- Sous Permissions secrètes, sélectionnez Obtenir et Lister, puis sélectionnez Suivant.
- Sélectionnez votre principal, puis sélectionnez Suivant.
- Sélectionnez à nouveau Suivant, vérifiez les paramètres, puis sélectionnez Créer.