Accéder à un coffre de clés privé depuis votre pipeline

Accéder à un coffre de clés privé à partir d’Azure DevOps

Dans cette section, nous explorons deux méthodes pour accéder à un coffre de clés privé à partir de Azure DevOps. Tout d’abord, nous utilisons des groupes de variables pour lier et cartographier des secrets depuis votre coffre de clés, puis nous configurons l'accès entrant en autorisant des plages IP statiques. Nous établissons l'accès entrant, car Azure Pipelines utilise l'adresse IP publique d'Azure DevOps lorsqu'il interroge le coffre Azure de clés depuis un groupe de variables. En ajoutant des connexions entrantes au pare-feu du coffre de clés, vous pouvez vous connecter à votre Azure coffre de clés.

Pour la deuxième approche, nous montrons comment ajouter dynamiquement l'adresse IP de l'agent hébergé par Microsoft à la liste d'autorisation du pare-feu de votre coffre de clés, interroger le coffre de clés, puis supprimer l'adresse IP après l'exécution. Cette deuxième approche est uniquement à des fins de démonstration. Nous vous déconseillons cette approche pour Azure Pipelines.

Étape 1 : Mapper les secrets du coffre de clés avec un groupe de variables

Étape 2 : Configurer l’accès entrant à partir de Azure DevOps

Pour permettre l’accès à votre coffre de clés depuis Azure DevOps, vous devez accorder l’accès depuis des plages d’IP statiques spécifiques. L’emplacement géographique de votre organisation Azure DevOps détermine ces plages.

1. Connectez-vous à votre organisation Azure DevOps.

2. Sélectionnez Paramètres de l’organisation.

3. Accédez à Vue d’ensemble pour rechercher l’emplacement géographique.

   

4. Trouvez vos plages IP V4 géographiques.

   Important

   Pour les connexions entrantes vers les États-Unis, veillez à ajouter les plages d'adresses IP pour toutes les régions américaines.

5. Configurez votre coffre de clés pour autoriser l’accès depuis des plages d’IP statiques.

Étape 3 : Interroger un coffre de clés privé avec un groupe de variables

Dans cet exemple, vous utilisez le groupe de variables configuré précédemment et autorisé avec un principal de service pour interroger et copier votre secret à partir de votre coffre de clés de Azure privé à l’aide du groupe de variables liées. Azure Pipelines utilise l’adresse IP publique publiée lorsqu’elle interroge le coffre de clés Azure à partir d’un groupe de variables. Veillez donc à avoir configuré l'accès entrant pour que cette action fonctionne correctement.

variables:
-  group: mySecret-VG

steps:
- task: CmdLine@2
  inputs:
    script: 'echo $(mySecret) > secret.txt'

- task: CopyFiles@2
  inputs:
    Contents: secret.txt
    targetFolder: '$(Build.ArtifactStagingDirectory)'

- task: PublishBuildArtifacts@1
  inputs:
    PathtoPublish: '$(Build.ArtifactStagingDirectory)'
    ArtifactName: 'drop'
    publishLocation: 'Container'

Méthode alternative : autoriser dynamiquement l’adresse IP de l’agent hébergé par Microsoft

Dans cette deuxième approche, vous interrogez l’adresse IP de l’agent hébergé Microsoft au début de votre pipeline. Ensuite, vous l’ajoutez à la liste d'autorisation du coffre de clés. Effectuez les tâches restantes, puis supprimez l'adresse IP de la liste blanche du pare-feu du Key Vault.

- task: AzurePowerShell@5
  displayName: 'Allow agent IP'
  inputs:
    azureSubscription: 'YOUR_SERVICE_CONNECTION_NAME'
    azurePowerShellVersion: LatestVersion
    ScriptType: InlineScript
    Inline: |
     $ip = (Invoke-WebRequest -uri "http://ifconfig.me/ip").Content
     Add-AzKeyVaultNetworkRule -VaultName "YOUR_KEY_VAULT_NAME" -ResourceGroupName "YOUR_RESOURCE_GROUP_NAME" -IpAddressRange $ip
     echo "##vso[task.setvariable variable=agentIP]ip"

- task: AzureKeyVault@2
  inputs:
    azureSubscription: 'YOUR_SERVICE_CONNECTION_NAME'
    KeyVaultName: 'YOUR_KEY_VAULT_NAME'
    SecretsFilter: '*'
    RunAsPreJob: false

- task: AzurePowerShell@5
  displayName: 'Remove agent IP'
  inputs:
    azureSubscription: 'YOUR_SERVICE_CONNECTION_NAME'
    azurePowerShellVersion: LatestVersion
    ScriptType: InlineScript
    Inline: |
     $ipRange = $env:agentIP + "/32"
     Remove-AzKeyVaultNetworkRule -VaultName "YOUR_KEY_VAULT_NAME" -IpAddressRange $ipRange
  condition: succeededOrFailed()

Accéder à un coffre de clés privé depuis un agent auto-hébergé

Pour accéder à un coffre de clés privé à partir d’un agent Azure Pipelines, vous devez utiliser un agent auto-hébergé (Windows, Linux ou Mac) ou Virtual Machine Scale Sets. C'est parce que les agents Microsoft hébergés, comme d'autres services de calcul génériques, ne sont pas inclus dans la liste des services approuvés.

Pour établir la connectivité avec votre coffre de clés privé, vous devez configurer un point de terminaison privé pour votre coffre de clés afin de fournir une connectivité en ligne de vue . Ce point de terminaison doit être routable et avoir son nom de DNS privé résolvable par l'agent de pipeline auto-hébergé.

Étape 1 : Configurer l’accès entrant à partir d’un agent auto-hébergé

1. Suivez les instructions pour créer un réseau virtuel.

2. Dans le portail Azure, utilisez la barre de recherche en haut de la page pour rechercher votre coffre de clés Azure.

3. Sélectionnez votre coffre de clés, puis accédez à Paramètres>réseau.

4. Sélectionnez Connexions de point de terminaison privé, puis sélectionnez Créer pour créer un nouveau point de terminaison privé.

   

5. Sélectionnez le groupe de ressources qui héberge le réseau virtuel que vous avez créé précédemment. Entrez un nom et un nom d’interface réseau pour votre instance, puis vérifiez que vous sélectionnez la même région que le réseau virtuel que vous avez créé précédemment. Sélectionnez Suivant.

   

6. Pour la méthode Connection, sélectionnez Connecter à une ressource Azure dans mon répertoire. Pour Type de ressource, choisissez Microsoft. KeyVault/vaults dans le menu déroulant. Sélectionnez votre ressource dans le menu déroulant. La sous-ressource cible est renseignée automatiquement avec la valeur coffre. Sélectionnez Suivant.

   

7. Sous l’onglet Réseau virtuel, sélectionnez le virtual network et le sous-réseau que vous avez créés précédemment, puis laissez le reste des champs comme valeur par défaut. Sélectionnez Suivant.

8. Acceptez les paramètres par défaut sous les onglets DNS et Balises . Sous l’onglet Vérifier + créer, sélectionnez Créer.

9. Une fois votre ressource déployée, accédez à votre coffre de clés et sélectionnez Paramètres>Réseau> Connexions de point de terminaison privé. Votre point de terminaison privé doit être répertorié avec l’état de connexionapprouvé. Si vous créez un lien vers une ressource Azure dans un autre répertoire, vous devez attendre que le propriétaire de la ressource approuve votre demande de connexion.

   

Étape 2 : Autoriser votre réseau virtuel

1. Accédez au portail Azure, puis recherchez votre coffre de clés Azure.

2. Sélectionnez Paramètres>Mise en réseau, puis vérifiez que vous êtes sous l’onglet Pare-feux et réseaux virtuels.

3. Sélectionnez Ajouter un réseau virtuel>Ajouter des réseaux virtuels existants.

4. Sélectionnez votre abonnement dans le menu déroulant, sélectionnez le réseau virtuel que vous avez créé précédemment, puis sélectionnez vos sous-réseaux.

5. Sélectionnez Ajouter, puis faites défiler vers le bas de la page, puis sélectionnez Appliquer pour enregistrer vos modifications.

   

Étape 3 : Consulter un coffre de clés privé à partir d’un agent auto-hébergé

L’exemple suivant utilise un agent configuré sur la machine virtuelle du réseau virtuel pour interroger le coffre de clés privé via le groupe de variables :

pool: Self-hosted-pool

variables:
  group: mySecret-VG

steps:
- task: CmdLine@2
  inputs:
    script: 'echo $(mySecret) > secret.txt'

- task: CopyFiles@2
  inputs:
    Contents: secret.txt
    targetFolder: '$(Build.ArtifactStagingDirectory)'

- task: PublishBuildArtifacts@1
  inputs:
    PathtoPublish: '$(Build.ArtifactStagingDirectory)'
    ArtifactName: 'drop'
    publishLocation: 'Container'

Si vous ne souhaitez pas accorder Azure DevOps accès entrant à votre coffre de clés privé, vous pouvez utiliser la tâche AzureKeyVault pour interroger votre coffre de clés. Vous devez vous assurer que vous autorisez le réseau virtuel qui héberge votre agent dans vos paramètres de pare-feu key vault.

pool: Self-hosted-pool

steps:
- task: AzureKeyVault@2
  inputs:
    azureSubscription: '$(SERVICE_CONNECTION_NAME)'
    keyVaultName: $(KEY_VAULT_NAME)
    SecretsFilter: '*'

- task: CmdLine@2
  inputs:
    script: 'echo $(mySecret) > secret.txt'

- task: CopyFiles@2
  inputs:
    Contents: secret.txt
    targetFolder: '$(Build.ArtifactStagingDirectory)'

- task: PublishBuildArtifacts@1
  inputs:
    PathtoPublish: '$(Build.ArtifactStagingDirectory)'
    ArtifactName: 'drop'
    publishLocation: 'Container'