Utilizar variáveis e parâmetros de pipeline de forma segura

Azure DevOps Services | Azure DevOps Server | Azure DevOps Server 2022

No Azure Pipelines, você pode permitir que os usuários personalizem a execução do pipeline coletando suas entradas com variáveis e parâmetros. No entanto, aceitar a entrada do usuário também pode introduzir riscos de segurança se não for tratado corretamente. Neste artigo, você aprenderá a usar com segurança variáveis e parâmetros em seu pipeline.

Este artigo faz parte de uma série que ajuda você a implementar medidas de segurança para o Azure Pipelines. Para obter mais informações, consulte Secure Azure Pipelines.

Pré-requisitos

Variáveis

As variáveis são uma maneira conveniente de coletar a entrada do usuário com antecedência e facilitar a transferência de dados entre as etapas do pipeline. No entanto, variáveis definidas em tarefas ou scripts YAML são leitura e gravação por padrão. Valores definidos em etapas anteriores podem modificar valores subsequentes inesperadamente.

Por exemplo, o snippet de script a seguir chama uma variável chamada MyConfig.

msbuild.exe myproj.proj -property:Configuration=$(MyConfig)

Se uma etapa anterior definir o valor da MyConfig variável como Debug & deltree /y c:, executar esse script excluirá o conteúdo do agente de build e poderá levar a consequências não intencionais. Este exemplo destaca o perigo potencial dessas configurações.

Variáveis de sistema como Build.SourcesDirectory e variáveis de saída de tarefa são sempre de somente leitura. Você também pode designar uma variável criada em um script ou tarefa YAML como somente leitura passando a flag isReadonly=true em seu comando de log.

Em uma definição de variável YAML, você pode especificar uma variável somente leitura usando a chave específica readonly :

variables:
- name: myReadOnlyVar
  value: myValue
  readonly: true

Tenha cuidado especial com variáveis secretas. Os métodos recomendados para definir variáveis secretas incluem o uso da interface do usuário, a criação de um grupo de variáveis ou o uso de um grupo de variáveis proveniente do Azure Key Vault. Para obter mais informações, consulte Definir variáveis secretas.

Variáveis de tempo de espera

Ao definir uma variável na interface do usuário do Azure Pipelines, você pode selecionar se deseja permitir que os usuários substituam o valor durante a execução do pipeline. Variáveis que permitem que os usuários definam seu valor no tempo de fila são chamadas de variáveis de tempo de fila e só podem ser definidas na interface do usuário das Variáveis do Azure Pipelines .

No editor de pipeline Clássico, você define a variável de tempo de fila selecionando a caixa de seleção para Settable no momento da fila. Em pipelines YAML, você os designa selecionando Permitir que os usuários substituam esse valor ao executar esse pipeline.

Quando um usuário executa manualmente o pipeline, ele pode selecionar variáveis de tempo de fila e alterar os valores.

{
  "$id": "1",
  "innerException": null,
  "message": "You can't set the following variables (BuildConfiguration). If you want to be able to set these variables, then edit the pipeline and select Settable at queue time on the variables tab of the pipeline editor.",
  "typeName": "Microsoft.Azure.Pipelines.WebApi.PipelineValidationException, Microsoft.Azure.Pipelines.WebApi",
  "typeKey": "PipelineValidationException",
  "errorCode": 0,
  "eventId": 3000
}

Parâmetros

Um pipeline em execução não pode modificar parâmetros de pipeline, ao contrário das variáveis. Os parâmetros têm tipos de dados, como number e string, e podem ser restritos a subconjuntos de valor específicos. Essa restrição é valiosa quando um aspecto configurável pelo usuário do pipeline deve aceitar apenas valores de uma lista predefinida, garantindo que o pipeline não aceite dados arbitrários.

Habilitar a validação de argumentos de tarefas do shell

Os pipelines podem fazer referência a tarefas executadas no pipeline. Algumas tarefas incluem um arguments parâmetro que permite que os usuários especifiquem mais opções para a tarefa.

A aplicação da configuração Habilitar validação de argumentos de tarefas do shell valida os argument parâmetros para tarefas de shell integradas, verificando se há entradas que podem injetar comandos em scripts. A verificação garante que o shell execute corretamente caracteres como ponto-e-vírgula, aspas e parênteses nas seguintes tarefas de pipeline:

• PowerShell
• Script em lote
• Bash
• SSH
• AzureFileCopy
• WindowsMachineFileCopy

Você pode aplicar a Habilitar validação de argumentos de tarefas de shell no nível da organização em Configurações da Organização>Pipelines>Configurações ou no nível do projeto em Configurações do Projeto>Pipelines>Configurações. Se a configuração no nível da organização estiver habilitada, ela se aplicará a todos os projetos da organização e não poderá ser desativada no nível do projeto.

Quando essa configuração está habilitada, qualquer problema de validação relacionado a um arguments parâmetro dispara a seguinte mensagem de erro:

Detected characters in arguments that may not be executed correctly by the shell. Please escape special characters using backtick (`).

Para resolver o problema, ajuste o argumento escapando de caracteres especiais, conforme indicado na mensagem de erro.

Conteúdo relacionado

• Definir variáveis
• Definir variáveis secretas
• Usar variáveis predefinidas
• Usar parâmetros de runtime
• Usar tipos de modelo