安全範本

代理程式記錄命令限制

使用者步驟會使用 記錄命令來要求服務，這些命令是列印至標準輸出的特製字串。 您可以限制日誌指令為使用者的步驟提供的服務。 在restricted模式中，大部分代理服務（例如上傳構件及附加測試結果）都無法用於執行日誌記錄命令。

在下列範例中， target 內容會指示代理程式限制發佈構件，因此構件發佈作業會失敗。

- task: PublishBuildArtifacts@1
  inputs:
    artifactName: myartifacts
  target:
    commands: restricted

記錄命令中的變數

setvariable 命令在 restricted 模式中仍然可用，因此處理輸出使用者提供資料的作業，例如透過 REST API 擷取的未解決問題，可能容易受到注入攻擊。 惡意使用者內容可能會設定變數，以環境變數的形式匯出至後續工作，並可能危害代理程式主機。

若要降低此風險，您可以使用 logging 指令明確 setvariable 宣告可設定的變數。 如果您在 中 settableVariables指定空清單，則不允許所有變數設定。

下列範例會將 settableVariables 限制於 expectedVar，以及任何以 ok 作為前置詞的變數。 工作失敗，因為它嘗試設定名為 BadVar的不同變數。

- task: PowerShell@2
  target:
    commands: restricted
    settableVariables:
    - expectedVar
    - ok*
  inputs:
    targetType: 'inline'
    script: |
      Write-Host "##vso[task.setvariable variable=BadVar]myValue"

條件式階段或作業執行

您可以限制階段和作業只在特定條件下執行。 下列範例可確保受限的程式碼僅於 main 分支建置。

jobs:
- job: buildNormal
  steps:
  - script: echo Building the normal, unsensitive part
- ${{ if eq(variables['Build.SourceBranchName'], 'refs/heads/main') }}:
  - job: buildMainOnly
    steps:
    - script: echo Building the restricted part that only builds for main branch

語法修改

Azure Pipelines 範本具有逐一查看和修改 YAML 語法的彈性。 藉由使用反覆專案，您可以強制執行特定的 YAML 安全性功能。

範本也可以重寫使用者步驟，只允許核准的工作執行。 例如，範本可以防止內嵌指令碼執行。

下列範例範本會防止執行指令碼步驟類型 bash、 powershell、 pwsh和 script 。 若要完全鎖定腳本，您也可以封鎖 BatchScript 和 ShellScript。

# template.yml
parameters:
- name: usersteps
  type: stepList
  default: []
steps:
- ${{ each step in parameters.usersteps }}:
  - ${{ if not(or(startsWith(step.task, 'Bash'),startsWith(step.task, 'CmdLine'),startsWith(step.task, 'PowerShell'))) }}:  
    - ${{ step }}
  # The following lines replace tasks like Bash@3, CmdLine@2, PowerShell@2
  - ${{ else }}:  
    - ${{ each pair in step }}:
        ${{ if eq(pair.key, 'inputs') }}:
          inputs:
            ${{ each attribute in pair.value }}:
              ${{ if eq(attribute.key, 'script') }}:
                script: echo "Script removed by template"
              ${{ else }}:
                ${{ attribute.key }}: ${{ attribute.value }}
        ${{ elseif ne(pair.key, 'displayName') }}:
          ${{ pair.key }}: ${{ pair.value }}

          displayName: 'Disabled by template: ${{ step.displayName }}'

在下列擴充上述範本的範例管線中，指令碼步驟會移除且不會執行。

# azure-pipelines.yml
extends:
  template: template.yml
  parameters:
    usersteps:
    - task: MyTask@1
    - script: echo This step is stripped out and not run
    - bash: echo This step is stripped out and not run
    - powershell: echo "This step is stripped out and not run"
    - pwsh: echo "This step is stripped out and not run"
    - script: echo This step is stripped out and not run
    - task: CmdLine@2
      displayName: Test - stripped out
      inputs:
        script: echo This step is stripped out and not run
    - task: MyOtherTask@2

範本步驟

範本可以自動在管線中包含步驟，例如執行認證掃描或靜態程式碼檢查。 下列範本會在使用者在每個作業中的步驟前後插入步驟。

parameters:
  jobs: []

jobs:
- ${{ each job in parameters.jobs }}: 
  - ${{ each pair in job }}:  
      ${{ if ne(pair.key, 'steps') }}:
        ${{ pair.key }}: ${{ pair.value }}
    steps:                            
    - task: CredScan@1 
    - ${{ job.steps }} 
    - task: PublishMyTelemetry@1 
      condition: always()