Usar segredos do Azure Key Vault em seu pipeline

1. Entre no portal do Azure e selecione Criar um recurso.

2. Em Cofre da Chave, selecione Criar para criar um novo Cofre da Chave do Azure.

3. Selecione a sua Subscrição no menu suspenso e, em seguida, selecione um grupo de Recursos existente ou crie um novo. Insira um nome de cofre de chaves, selecione uma região, escolha um nível de preço e selecione Avançar se quiser configurar propriedades adicionais. Caso contrário, selecione Rever + criar para manter as definições padrão.

4. Quando a implantação estiver concluída, selecione Ir para o recurso.

1. Primeiro, defina sua região padrão e a assinatura do Azure:

   • Definir subscrição predefinida:

   az account set --subscription <your_subscription_name_or_subscription_ID>
   

   • Definir região padrão:

   az config set defaults.location=<your_region>
   

2. Crie um novo grupo de recursos para hospedar seu Cofre de Chaves do Azure. Um grupo de recursos é um contêiner que contém recursos relacionados para uma solução do Azure:

   az group create --name <your-resource-group>
   

3. Crie um novo Cofre da Chave do Azure:

   az keyvault create \
     --name <your-key-vault-name> \
     --resource-group <your-resource-group>
   

Criar uma identidade gerida atribuída pelo utilizador

1. Entre no portal do Azure e procure o serviço Identidades Gerenciadas na barra de pesquisa.

2. Selecione Criar e preencha os campos obrigatórios da seguinte forma:

   • Assinatura: selecione sua assinatura no menu suspenso.
   • Grupo de recursos: selecione um grupo de recursos existente ou crie um novo.
   • Região: selecione uma região no menu suspenso.
   • Nome: introduza um nome para a sua identidade gerida atribuída pelo utilizador.

3. Selecione Rever e Criar quando terminar.

4. Quando a implantação estiver concluída, selecione Ir para o recurso e, em seguida, copie a Assinatura e a ID do cliente, você precisará delas nas próximas etapas.

5. Navegue até Configurações>Propriedades, e copie o ID de Inquilino da sua identidade gerida para usar mais tarde.

Configurar políticas de acesso ao cofre de chaves

1. Navegue até o portal do Azure e use a barra de pesquisa para localizar o cofre de chaves criado anteriormente.

2. Selecione Políticas de acesso e, em seguida, selecione Criar para adicionar uma nova política.

3. Em Permissões secretas, marque as caixas de seleção Obter e Listar .

4. Selecione Avançar e cole a ID do Cliente da identidade gerenciada criada anteriormente na barra de pesquisa.

5. Selecione sua identidade gerenciada, selecione Avançar e Avançar mais uma vez.

6. Reveja a sua nova política e, em seguida, selecione Criar quando terminar.

Criar uma conexão de serviço

1. Entre em sua organização do Azure DevOps e navegue até seu projeto.

2. Selecione Configurações do> projetoConexões de serviço e, em seguida, selecione Nova conexão de serviço.

3. Selecione Azure Resource Manager e, em seguida, selecione Next.

4. Em Tipo de identidade, selecione Identidade gerenciada no menu suspenso.

5. Para a Etapa 1: Detalhes da identidade gerenciada, preencha os campos da seguinte maneira:

   • Subscrição para identidade gerida: selecione a subscrição que contém a sua identidade gerida.

   • Grupo de recursos para identidade gerenciada: selecione o grupo de recursos onde sua identidade gerenciada está hospedada.

   • Identidade Gerida: selecione a sua identidade gerida no menu pendente.

6. Para Etapa 2: Escopo do Azure, preencha os campos da seguinte maneira:

   • Nível de escopo para conexão de serviço: Selecione Assinatura.

   • Assinatura para conexão de serviço: selecione a assinatura que sua identidade gerenciada acessará.

   • Grupo de recursos para conexão de serviço: (Opcional) Especifique isso se quiser restringir o acesso a um grupo de recursos específico.

7. Para Etapa 3: Detalhes da conexão de serviço:

   • Nome da conexão de serviço: forneça um nome para sua conexão de serviço.

   • Referência de gerenciamento de serviços: (Opcional) Inclua informações de contexto de um banco de dados ITSM.

   • Descrição: (Opcional) Adicione uma descrição.

8. Em Segurança, marque a caixa Conceder permissão de acesso a todos os pipelines para permitir que todos os pipelines usem essa conexão de serviço. Caso deixe isso desselecionado, precisará conceder acesso manualmente para cada pipeline.

9. Selecione Salvar para validar e criar a conexão de serviço.

   

Criar um principal de serviço

Nesta etapa, irá criar um novo principal de serviço no Azure para que os seus Pipelines do Azure possam aceder ao Azure Key Vault.

1. Navegue até o portal do Azure e selecione o >ícone _ no menu superior para abrir o Cloud Shell.

2. Selecione PowerShell ou Bash , dependendo da sua preferência.

3. Execute o seguinte comando para criar um novo principal de serviço:

   az ad sp create-for-rbac --name YOUR_SERVICE_PRINCIPAL_NAME
   

4. Depois que o comando for executado, você obterá uma saída semelhante à seguinte. Copie e salve a saída, você precisará dela para criar uma conexão de serviço na próxima etapa.

   {
     "appId": "00001111-aaaa-2222-bbbb-3333cccc4444",
     "displayName": "MyServicePrincipal",
     "password": "***********************************",
     "tenant": "aaaabbbb-0000-cccc-1111-dddd2222eeee"
   }
   

Criar uma conexão de serviço

1. Entre em sua organização do Azure DevOps e navegue até seu projeto.

2. Selecione Configurações do projeto e, em seguida, selecione Conexões de serviço.

3. Selecione Nova conexão de serviço, selecione Gerenciador de Recursos do Azure e selecione Avançar.

4. Selecione Service principal (manual) e, em seguida, selecione Avançar.

5. Em Tipo de identidade, selecione Registro de aplicativo ou identidade gerenciada (manual).

6. Em Credencial, selecione Federação de identidades de carga de trabalho.

7. Forneça um nome para sua conexão de serviço e selecione Avançar.

8. Copie os valores do identificador Emissor e Assunto . Você precisará deles na próxima etapa.

9. Para Ambiente, selecione Nuvem do Azure e, para Escopo da Assinatura , selecione Assinatura.

10. Introduza o ID da Subscrição do Azure e o nome da Subscrição.

11. Em Autenticação, cole a ID do aplicativo (cliente) e a ID do diretório (locatário) da entidade de serviço

12. Na seção Segurança , marque a caixa Conceder permissão de acesso a todos os pipelines para permitir que todos os pipelines usem essa conexão de serviço. Se ignorar isto, precisará conceder acesso manualmente para cada canal de integração.

13. Deixe esta página aberta. Irá voltar a esta página para a concluir depois de (1) criar a credencial federada no Azure e (2) conceder permissão de Leitura à principal de serviço ao nível da subscrição.

    

Criar uma credencial federada no Azure

1. Navegue até o portal do Azure e use a barra de pesquisa para localizar sua entidade de serviço inserindo sua ID do Cliente. Selecione o aplicativo correspondente nos resultados.

2. Em Gerir, selecione Certificados & segredos>Credenciais federadas.

3. Selecione Adicionar credencial e, em seguida, para Cenário de credenciais federadas, selecione Outro emissor.

4. No campo Emissor, cole o valor do Emissor que copiou da sua conexão de serviço anteriormente.

5. No campo Identificador de assunto , cole o identificador de assunto copiado anteriormente.

6. Introduza um Nome para a sua credencial federada e, em seguida, selecione Adicionar quando terminar.

   

Adicionar atribuição de função à sua subscrição

Antes de poder verificar a conexão, é necessário conceder ao principal de serviço acesso de leitura ao nível da subscrição.

1. Navegue até o portal do Azure

2. Em Serviços do Azure, selecione Subscrições e, em seguida, localize e selecione a sua subscrição.

3. Selecione Controle de acesso (IAM) e, em seguida, selecione Adicionar>atribuição de função.

4. No separador Função , selecione Leitor e, em seguida, selecione Seguinte.

5. Selecione Utilizador, grupo ou entidade de serviço e, em seguida, selecione Selecionar membros.

6. Na barra de pesquisa, cole o ID do objeto do principal do serviço, selecione-o e clique em Selecionar.

7. Selecione Rever + atribuir, rever as suas definições e, em seguida, selecione Rever + atribuir novamente para confirmar.

8. Uma vez que a atribuição de função é adicionada. volte para sua conexão de serviço no Azure DevOps e selecione Verificar e Salvar para salvar sua conexão de serviço.

Configurar políticas de acesso ao Cofre de Chaves

1. Navegue até o portal do Azure, localize o cofre de chaves criado anteriormente e selecione Políticas de acesso.

2. Selecione Criar e, em seguida, em Permissões secretas , adicione as permissões Obter e Listar e, em seguida, selecione Avançar.

3. Em Principal, cole o ID do objeto do principal de serviço, selecione-o e clique em Avançar.

4. Selecione Seguinte novamente, reveja as definições e, em seguida, selecione Guardar para aplicar a nova política.