Utiliser des secrets d’Azure Key Vault dans Azure Pipelines

Créer une identité managée attribuée par l’utilisateur

1. Accédez au portail Azure, puis recherchez Identités managées dans la barre de recherche.

2. Sélectionnez Créer et fournissez les informations suivantes :

   • Abonnement : sélectionnez votre abonnement Azure dans le menu déroulant.
   • Groupe de ressources : sélectionnez un groupe de ressources existant ou créez-en un.
   • Région : sélectionnez la région où l’identité managée est créée.
   • Nom : entrez un nom pour l’identité managée affectée par l’utilisateur.

3. Sélectionnez Vérifier + créer, puis créer pour démarrer le déploiement.

4. Une fois le déploiement terminé, sélectionnez Accéder à la ressource, puis copiez l’ID d’abonnement et les valeurs d’ID client . Vous avez besoin de ces valeurs dans les étapes ultérieures.

5. Sous Paramètres, sélectionnez Propriétés et copiez la valeur d’ID de locataire de votre identité managée pour une utilisation ultérieure.

Configurer les stratégies d’accès du Key Vault

1. Accédez au portail Azure et utilisez la barre de recherche pour localiser le coffre de clés que vous avez créé précédemment.

2. Sélectionnez Stratégies d’accès, puis sélectionnez Créer pour ajouter une nouvelle stratégie.

3. Sous Autorisations secrètes, cochez les cases Obtenir et Liste .

4. Sélectionnez Suivant. Collez l’ID client de l’identité managée que vous avez créée précédemment dans la barre de recherche, puis sélectionnez l’identité managée.

5. Cliquez sur Suivant, puis à nouveau sur Suivant.

6. Passez en revue les détails de la stratégie d’accès, puis sélectionnez Créer pour appliquer la stratégie.

Créer une connexion de service

1. Connectez-vous à Azure DevOps, puis accédez à votre projet.

2. Sélectionnez Paramètres de projet>Connexions de service>Nouvelle connexion de service.

3. Sélectionnez Azure Resource Manager, puis sélectionnez Suivant.

4. Pour Le type d’identité, sélectionnez Identité managée.

5. Sous l’étape 1 : Détails de l’identité managée, fournissez les informations suivantes :

   • Abonnement pour l’identité managée : sélectionnez l’abonnement qui contient votre identité managée.
   • Groupe de ressources pour l’identité managée : sélectionnez le groupe de ressources qui héberge votre identité managée.
   • Identité managée : sélectionnez votre identité managée dans la liste déroulante.

6. Pour l’étape 2 : Étendue Azure, fournissez les informations suivantes :

   • Niveau d’étendue pour la connexion de service : sélectionnez Abonnement.
   • Abonnement pour la connexion de service : sélectionnez l’abonnement auquel l’identité managée accède.
   • Groupe de ressources pour la connexion de service : (facultatif) Spécifiez un groupe de ressources pour limiter l’accès de l’identité managée à un groupe de ressources.

7. Pour l’étape 3 : Détails de la connexion de service, fournissez les informations suivantes :

   • Nom de la connexion de service : entrez un nom pour la connexion de service.
   • Référence de gestion des services : (facultatif) Incluez des informations de contexte à partir d’une base de données ITSM.
   • Description : (facultatif) Entrez une description.

8. Sous Sécurité, l'option Accorder l'autorisation d'accès à tous les pipelines permet à tous les pipelines d'utiliser cette connexion de service. Nous vous déconseillons cette option. Au lieu de cela, autorisez chaque pipeline individuellement à utiliser la connexion de service.

9. Sélectionnez Enregistrer pour valider et créer la connexion de service.

   

Configurer les stratégies d’accès du Key Vault

Pour accéder à votre coffre de clés, vous devez d’abord configurer un principal de service pour accorder l’accès à Azure Pipelines.

1. Créez un principal de service.

2. Accédez au portail Azure et utilisez la barre de recherche pour localiser le coffre de clés que vous avez créé précédemment.

3. Sélectionnez Stratégies d’accès, puis sélectionnez Créer.

4. Sous Autorisations secrètes, ajoutez les autorisations Obtenir et Répertorier, puis sélectionnez Suivant.

5. Pour Principal, collez l’ID d’objet de votre principal de service, sélectionnez le principal de service, puis sélectionnez Suivant.

6. Sélectionnez Suivant à nouveau, passez en revue la stratégie d’accès, puis sélectionnez Enregistrer.

Ajouter une attribution de rôle

À l’étape suivante, vous créez une connexion de service Azure Resource Manager pour votre principal de service. Avant de vérifier la connexion, vous devez :

• Accordez au principal service l'accès lecteur au niveau de l'abonnement.
• Créez des informations d’identification fédérées pour votre principal de service.

Pour accorder l’accès Lecteur au niveau de l’abonnement, procédez comme suit :

1. Accédez au portail Azure, sélectionnez Subscriptions, puis sélectionnez votre abonnement.

2. Sélectionnez Contrôle d’accès (IAM), puis Ajouter>Ajouter une attribution de rôle.

3. Sous l’onglet Rôle , sélectionnez Lecteur, puis Sélectionnez Suivant.

4. Sélectionnez Utilisateur, groupe ou principal de service, puis choisissez Sélectionner les membres.

5. Collez l’ID d’objet de votre principal de service dans la barre de recherche, sélectionnez-le, puis sélectionnez Sélectionner.

6. Sélectionnez Vérifier + affecter, passez en revue les paramètres, puis révisez + attribuer pour appliquer l’attribution de rôle.

Créer une connexion de service

1. Connectez-vous à Azure DevOps, puis accédez à votre projet.

2. Sélectionnez Project paramètres>Service connections.

3. Sélectionnez Nouvelle connexion de service>Azure Resource Manager, puis sélectionnez Suivant.

4. Sélectionnez Principal du service (manuel), puis sélectionnez Suivant.

5. Pour le type d’identité, sélectionnez Inscription de l’application ou identité managée (manuel).

6. Pour informations d’identification, sélectionnez fédération des identités de charges de travail.

7. Entrez un nom pour la connexion de service, puis sélectionnez Suivant.

8. Pour Environment, sélectionnez Azure Cloud et pour l’étendue Subscription, sélectionnez Subscription.

9. Entrez votre ID d’abonnement et votre nom d’abonnement Azure.

10. Pour l'authentification, collez l'ID d'application (client) de votre service principal et l'ID d'annuaire (tenant).

11. Sous Sécurité, l'option Accorder l'autorisation d'accès à tous les pipelines permet à tous les pipelines d'utiliser cette connexion de service. Nous vous déconseillons cette option. Au lieu de cela, autorisez chaque pipeline individuellement à utiliser la connexion de service.

12. Laissez cette fenêtre ouverte. Vous revenez ultérieurement pour vérifier et enregistrer la connexion de service après avoir créé les informations d’identification fédérées.

Créer un justificatif fédéré pour un principal de service

1. Accédez au portail Azure, entrez l’ID client de votre principal de service dans la barre de recherche, puis sélectionnez votre application.

2. Sous Gérer, sélectionnez Certificats et secrets>Informations d'identification fédérées.

3. Sélectionnez Ajouter des informations d’identification, puis, pour le scénario d’informations d’identification fédérées, sélectionnez Autre émetteur.

4. Pour l’émetteur, collez la valeur de l’émetteur que vous avez copiée à partir de la connexion de service.

5. Pour l’identificateur d’objet, collez la valeur de l’identificateur de l’objet que vous avez copiée à partir de la connexion de service.

6. Entrez un nom pour les informations d’identification fédérées, puis sélectionnez Ajouter.

7. Revenez à votre fenêtre de connexion de service, puis sélectionnez Vérifier et enregistrer pour enregistrer votre connexion de service.

1. Connectez-vous à Azure DevOps, puis accédez à votre projet.

2. Sélectionnez Pipelines>Nouveau pipeline.

3. Sélectionnez Azure Repos Git (YAML), puis votre dépôt.

4. Sélectionnez le modèle Pipeline de démarrage.

5. Le pipeline par défaut inclut des exemples de commandes d’écho. Vous n’avez pas besoin de ces commandes. Vous pouvez donc les supprimer.

6. Ajoutez la tâche Azure Key Vault à votre pipeline. Remplacez les espaces réservés par le nom de la connexion de service que vous avez créée précédemment et le nom de votre coffre de clés. Votre fichier YAML doit ressembler à l’exemple suivant :

   trigger:
   - main
   
   pool:
     vmImage: ubuntu-latest
   
   steps:
   - task: AzureKeyVault@2
     displayName: Azure Key Vault
     inputs:
       azureSubscription: 'SERVICE_CONNECTION_NAME'
       KeyVaultName: 'KEY_VAULT_NAME'
       SecretsFilter: '*'
       RunAsPreJob: false
   

7. Ajoutez les tâches suivantes pour copier et publier le secret. Cet exemple est uniquement à des fins de démonstration. Ne l’utilisez pas dans un environnement de production.

   trigger:
   - main
   
   pool:
     vmImage: ubuntu-latest
   
   steps:
   - task: AzureKeyVault@2
     displayName: Azure Key Vault
     inputs:
       azureSubscription: 'SERVICE_CONNECTION_NAME'
       KeyVaultName: 'KEY_VAULT_NAME'
       SecretsFilter: '*'
       RunAsPreJob: false
   
   - task: CmdLine@2
     displayName: Create file
     inputs:
       script: 'echo $(SECRET_NAME) > secret.txt'
   
   - task: CopyFiles@2
     displayName: Copy file
     inputs:
       Contents: secret.txt
       targetFolder: '$(Build.ArtifactStagingDirectory)'
   
   - task: PublishBuildArtifacts@1
     displayName: Publish Artifact
     inputs:
       PathtoPublish: '$(Build.ArtifactStagingDirectory)'
       ArtifactName: 'drop'
       publishLocation: 'Container'
   

8. Sélectionnez Enregistrer et exécuter, puis sélectionnez-le à nouveau pour valider vos modifications et déclencher le pipeline. Si vous y êtes invité, sélectionnez Autoriser pour accorder l’accès au pipeline aux ressources Azure.

9. Une fois que le pipeline démarre, sélectionnez la tâche CmdLine pour afficher les journaux.

   

10. Après l'achèvement de l'exécution du pipeline, revenez au résumé du pipeline et sélectionnez l’artefact publié.

    

11. Sélectionnez supprimer>secret.txt pour télécharger le fichier.

    

12. Ouvrez le fichier texte téléchargé. Il doit contenir le secret récupéré à partir de votre Key Vault.

1. Connectez-vous à Azure DevOps, puis accédez à votre projet.

2. Sélectionnez Pipelines, puis Nouveau pipeline.

3. Sélectionnez Utiliser l’éditeur classique pour créer un pipeline classique.

4. Sélectionnez Azure Repos Git, puis votre dépôt et votre branche par défaut, puis Continuer.

5. Sélectionnez le modèle de pipeline .Net Desktop.

6. Pour cet exemple, seules les deux dernières tâches sont requises. Maintenez la touche Ctrl enfoncée , puis sélectionnez les cinq premières tâches. Cliquez avec le bouton droit, puis sélectionnez Supprimer les tâches sélectionnées pour les supprimer.

   

7. Sélectionnez + pour ajouter une nouvelle tâche. Recherchez la tâche de ligne de commande , sélectionnez-la, puis sélectionnez Ajouter. Configurez la tâche :

   • Nom d’affichage : Saisir Créer un fichier.
   • Script : Entrez echo $(SECRET_NAME) > secret.txt.

   

8. Sélectionnez + pour ajouter une nouvelle tâche. Recherchez la tâche Azure Key Vault , sélectionnez-la, puis sélectionnez Ajouter. Configurez la tâche :

   • Display name : Entrez Azure Key Vault.
   • abonnement Azure : sélectionnez la connexion de service que vous avez créée précédemment.
   • Coffre de clés : sélectionnez votre coffre de clés.
   • Filtre de secrets : entrez une liste séparée par des virgules de noms de secrets ou utilisez un astérisque (*) pour télécharger tous les secrets.

   

9. Sélectionnez la tâche Copier des fichiers et configurez les champs suivants :

   • Nom d'affichage : entrez Copy File.
   • Contenu : entrez secret.txt.
   • Dossier cible : entrez $(build.artifactstagingdirectory).

   

10. Sélectionnez la tâche Publier des artefacts et configurez les champs suivants :

    • Nom d’affichage : entrez Publish Artifact.
    • Chemin de publication : Entrez $(build.artifactstagingdirectory).
    • Nom de l’artefact : entrez drop.
    • Emplacement de publication d'Artifact : saisissez Azure Pipelines.

    

11. Sélectionnez Enregistrer et mettre en file d’attente, puis Exécutez pour démarrer le pipeline.

12. Une fois que la chaîne de traitement est terminée, revenez au résumé et sélectionnez l'artefact publié.

13. Sélectionnez supprimer>secret.txt pour télécharger l’artefact.

    

14. Ouvrez le fichier texte téléchargé. Il devrait contenir le secret qui a été récupéré à partir de votre coffre-fort de clés.