Partager via


Utiliser des secrets d’Azure Key Vault dans Azure Pipelines

Azure DevOps Services | Azure DevOps Server 2022 | Azure DevOps Server 2019

Azure Key Vault permet aux développeurs de stocker et de gérer en toute sécurité des informations sensibles telles que des clés API, des informations d’identification ou des certificats. Le service Azure Key Vault prend en charge deux types de conteneurs : les coffres et les pools HSM (modules de sécurité matériels) managés. Les coffres peuvent stocker à la fois des clés logicielles et sauvegardées avec HSM, des secrets et des certificats, tandis que les pools HSM managés prennent exclusivement en charge les clés sauvegardées avec HSM.

Dans ce didacticiel, vous apprendrez à :

  • Créer un coffre Azure Key Vault avec Azure CLI
  • Ajouter un secret et configurer l’accès au coffre de clés Azure
  • Utiliser des secrets dans votre pipeline

Prérequis

Créer un référentiel

Si vous disposez déjà de votre propre dépôt, passez à l’étape suivante. Sinon, suivez les instructions ci-dessous pour initialiser votre dépôt. Nous allons utiliser ce dépôt Azure pour configurer notre pipeline.

  1. Connectez-vous à votre organisation Azure DevOps puis accédez à votre projet.

  2. Sélectionnez Dépôts, puis Initialiser pour initialiser la branche primaire avec un fichier README.

    Capture d’écran montrant comment initialiser un dépôt avec un fichier README.

Créer un Azure Key Vault

  1. Connectez-vous au portail Azure, puis sélectionnez le bouton Cloud Shell dans le coin supérieur droit.

  2. Si vous avez plusieurs abonnements Azure associés à votre compte, utilisez la commande ci-dessous pour spécifier un abonnement par défaut. Vous pouvez utiliser az account list pour générer une liste de vos abonnements.

    az account set --subscription <YOUR_SUBSCRIPTION_NAME_OR_ID>
    
  3. Définissez votre région Azure par défaut. Vous pouvez utiliser az account list-locations pour générer une liste de régions disponibles.

    az config set defaults.location=<YOUR_REGION>
    
  4. Créez un groupe de ressources.

    az group create --name <YOUR_RESOURCE_GROUP_NAME>
    
  5. Créez un Azure Key Vault.

    az keyvault create \
      --name <YOUR_KEY_VAULT_NAME> \
      --resource-group <YOUR_RESOURCE_GROUP_NAME>
    
  6. Créez un secret dans votre coffre de clés Azure.

    az keyvault secret set \
      --name <YOUR_SECRET_NAME> \
      --value <YOUR_ACTUAL_SECRET> \
      --vault-name <YOUR_KEY_VAULT_NAME>
    

Définir des stratégies d’accès Key Vault

Pour accéder à notre coffre de clés Azure, il faut configurer un principal de service pour accorder l’accès à Azure Pipelines. Suivez les instructions de ce guide pour créer un principal de service avec l'interface de ligne de commande Azure, puis passez aux étapes suivantes de cette section.

  1. Accédez au portail Azure, puis utilisez la barre de recherche pour rechercher le coffre de clés que vous avez créé précédemment.

    Capture d’écran montrant comment rechercher votre Azure Key Vault.

  2. Sélectionnez Stratégies d’accès, puis Créer pour créer une nouvelle stratégie.

  3. Sous Autorisations du secret, sélectionnez Get (Obtenir) et List (Lister).

  4. Sélectionnez Suivant, puis le principal du service que vous avez créé précédemment. Un principal de service est un objet qui représente une application ou un service demandant l’accès aux ressources Azure.

  5. Sélectionnez Suivant, puis Suivant à nouveau.

  6. Vérifiez vos stratégies, puis sélectionnez Créer quand vous avez terminé.

Ajouter une attribution de rôle

À l’étape suivante, nous allons créer une connexion de service ARM à l’aide du principal de service. Avant de pouvoir vérifier la connexion, il faut accorder l’accès en lecture au principal de service au niveau de l’abonnement :

  1. Accédez au portail Azure

  2. Sélectionnez Abonnements dans le volet de navigation gauche, puis recherchez et sélectionnez votre abonnement.

  3. Sélectionnez Contrôle d’accès, puis Ajouter>Ajouter une attribution de rôle.

    Capture d’écran montrant comment ajouter une nouvelle attribution de rôle au niveau de l’abonnement.

  4. Sélectionnez Lecteur dans l'onglet Rôle, puis Suivant.

  5. Sélectionnez Utilisateur, groupe ou principal de service, puis Sélectionner les membres.

    Capture d’écran montrant comment ajouter des membres à l’attribution de rôle dans Azure.

  6. Utilisez la barre de recherche pour rechercher votre principal de service, puis sélectionnez le signe « + » pour le sélectionner. Ensuite, cliquez sur le bouton Sélectionner.

  7. Sélectionnez Vérifier + attribuer, revoyez vos paramètres, puis sélectionner Vérifier+ attribuer à nouveau pour confirmer vos choix et ajouter l’attribution de rôle.

Créer une connexion de service

  1. Connectez-vous à votre organisation Azure DevOps puis accédez à votre projet.

  2. Sélectionnez Paramètres du projet>Connexions de service, puis Nouvelle connexion de service pour créer une nouvelle connexion de service.

  3. Sélectionnez Azure Resource Manager, puis sélectionnez Suivant.

  4. Sélectionnez Principal du service (manuel), puis sélectionnez Suivant.

  5. Sélectionnez Azure Cloud pour Environnement et Abonnement pour le Niveau de portée, puis saisissez votre ID d’abonnement et votre Nom d’abonnement.

  6. Renseignez les champs suivants avec les informations que vous avez obtenues lors de la création du principal de service, puis sélectionnez Vérifier lorsque vous avez terminé :

    • ID principal du service : Votre principal de service appId.
    • Clé principale du service : Votre principal de service mot de passe.
    • ID du locataire : Votre principal de service locataire.
  7. Une fois la vérification réalisée avec succès, fournissez un nom et une description (facultatif) pour votre connexion de service, puis cochez la case Accorder une autorisation d’accès à tous les pipelines.

  8. Sélectionnez Vérifier et enregistrez lorsque vous avez terminé.

    Capture d’écran montrant comment créer une nouvelle connexion de service Azure Resource Manager à l’aide d’un principal de service.

  1. Connectez-vous à votre collection Azure DevOps puis accédez à votre projet.

  2. Sélectionnez Paramètres du projet>Connexions de service>Nouvelle connexion de service, puis sélectionner Azure Resource Manager pour créer une nouvelle connexion de service ARM.

  3. Attribuez un nom à votre connexion de service, puis sélectionnez Azure Cloud pour Environnement et Abonnement pour le Niveau de portée.

  4. Saisissez votre ID d’abonnement et votre Nom d’abonnement.

  5. Renseignez les champs suivants avec les informations que vous avez obtenues lors de la création du principal de service, puis sélectionnez Vérifier la connexion lorsque vous avez terminé :

    • ID client du principal de service : votre appId du principal de service.
    • Clé principale du service : Votre principal de service mot de passe.
    • ID du locataire : Votre principal de service locataire.
  6. Cochez la case Autoriser tous les pipelines à utiliser cette connexion , puis sélectionnez Ok lorsque vous avez terminé.

    Capture d’écran montrant comment créer une connexion de service ARM à l’aide du principal de service dans Azure DevOps Server 2019.

Créer un pipeline

  1. Connectez-vous à votre organisation Azure DevOps puis accédez à votre projet.

  2. Sélectionnez Pipelines, puis Nouveau pipeline.

  3. Sélectionnez Utiliser l’éditeur classique pour créer un pipeline classique.

  4. Sélectionnez Azure Repos Git, puis votre dépôt et votre branche par défaut, puis Continuer.

  5. Sélectionnez le modèle de pipeline .Net Desktop.

  6. Pour cet exemple, nous n’aurons besoin que des deux dernières tâches. Appuyez sur Ctrl, puis sélectionnez les cinq premières tâches, cliquez avec le bouton droit et choisissez Supprimer les tâches sélectionnées pour les supprimer.

    Capture d’écran montrant comment supprimer plusieurs tâches de pipeline.

  7. Sélectionnez + pour ajouter une nouvelle tâche. Recherchez la tâche de ligne de commande, sélectionnez-la, puis sélectionnez Ajouter pour l’ajouter à votre pipeline. Une fois ajoutée, configurez-la comme suit :

    • Nom d'affichage : créer un fichier
    • Script : echo $(YOUR_SECRET_NAME) > secret.txt

    Capture d’écran montrant comment configurer la tâche de ligne de commande.

  8. Sélectionnez + pour ajouter une nouvelle tâche. Recherchez la tâche de Azure Key Vault, sélectionnez-la, puis sélectionnez Ajouter* pour l’ajouter à votre pipeline. Une fois ajoutée, configurez-la comme suit :

    • Nom d'affichage : Azure Key Vault
    • Abonnement Azure : sélectionnez votre connexion de service du principal de service que vous avez créée précédemment
    • Coffre de clés : sélectionnez votre coffre de clés
    • Filtrer les secrets : liste de noms de secrets séparés par des virgules ou laissez * pour télécharger tous les secrets du coffre de clés sélectionné

    Capture d’écran montrant comment configurer la tâche Azure Key Vault dans des pipelines classiques.

  9. Sélectionnez la tâche Copier les fichiers et renseignez les champs obligatoires comme suit :

    • Nom d’affichage : copier le fichier
    • Contenu : secret.txt
    • Dossier cible : $(build.artifactstagingdirectory)

    Capture d’écran montrant comment configurer la tâche de copie de fichiers dans des pipelines classiques.

  10. Sélectionnez la tâche Publier des artefacts et renseignez les champs obligatoires comme suit :

    • Nom d'affichage : publier l’artefact
    • Chemin d’accès à la publication : $(build.artifactstagingdirectory)
    • Nom de l'artefact : dépôt
    • Emplacement de publication des artefacts : Azure Pipelines

    Capture d’écran montrant comment configurer la publication des artefacts dans des pipelines classiques.

  11. Sélectionnez Enregistrer et mettre en file d’attente, puis Exécuter pour exécuter votre pipeline.

  12. Une fois l’exécution du pipeline terminée, revenez au récapitulatif du pipeline et sélectionnez l’artefact publié.

  13. Sélectionnez déposer>secret.txt pour télécharger l’artefact publié.

    Capture d’écran montrant comment télécharger l'artefact publié.

  14. Ouvrez le fichier texte que vous venez de télécharger, lequel doit contenir le secret de votre coffre de clés Azure.

  1. Connectez-vous à votre collection Azure DevOps puis accédez à votre projet.

  2. Sélectionnez Pipelines, puis Builds.

  3. Sélectionnez Nouveau>Nouveau pipeline de build.

  4. Sélectionnez Utiliser l’éditeur classique pour créer nouveau pipeline de build classique.

  5. Sélectionnez Azure Repos Git, puis votre dépôt et votre branche par défaut, puis Continuer.

  6. Sélectionnez le modèle de pipeline .Net Desktop, puis Appliquer.

  7. Pour cet exemple, nous n’aurons besoin que des deux dernières tâches. Appuyez sur Ctrl, puis sélectionnez les cinq premières tâches, cliquez avec le bouton droit et choisissez Supprimer les tâches sélectionnées pour les supprimer.

    Capture d’écran montrant comment supprimer plusieurs tâches de pipeline dans des pipelines classiques dans Azure DevOps Server 2019.

  8. Sélectionnez + pour ajouter une nouvelle tâche. Recherchez la tâche de ligne de commande, sélectionnez-la, puis sélectionnez Ajouter pour l’ajouter à votre pipeline. Une fois ajoutée, configurez-la comme suit :

    • Nom d'affichage : créer un fichier
    • Script : echo $(YOUR_SECRET_NAME) > secret.txt

    Capture d’écran montrant comment configurer la tâche de ligne de commande dans des pipelines classiques dans Azure DevOps Server 2019.

  9. Sélectionnez + pour ajouter une nouvelle tâche. Recherchez la tâche de Azure Key Vault, sélectionnez-la, puis sélectionnez Ajouter* pour l’ajouter à votre pipeline. Une fois ajoutée, configurez-la comme suit :

    • Nom d'affichage : Azure Key Vault
    • Abonnement Azure : sélectionnez votre connexion de service du principal de service que vous avez créée précédemment
    • Coffre de clés : sélectionnez votre coffre de clés
    • Filtrer les secrets : liste de noms de secrets séparés par des virgules ou laissez * pour télécharger tous les secrets du coffre de clés sélectionné

    Capture d’écran montrant comment configurer la tâche Azure Key Vault dans un pipeline classique dans Azure DevOps Server 2019.

  10. Sélectionnez la tâche Copier les fichiers et renseignez les champs obligatoires comme suit :

    • Nom d’affichage : copier le fichier
    • Contenu : secret.txt
    • Dossier cible : $(build.artifactstagingdirectory)

    Capture d’écran montrant comment configurer la tâche Copier des fichiers dans des pipelines classiques dans Azure DevOps Server 2019.

  11. Sélectionnez la tâche Publier des artefacts et renseignez les champs obligatoires comme suit :

    • Nom d'affichage : publier l’artefact
    • Chemin d’accès à la publication : $(build.artifactstagingdirectory)
    • Nom de l'artefact : dépôt
    • Emplacement de publication des artefacts : Azure Pipelines

    Capture d’écran montrant comment configurer la tâche Publier des artefacts dans des pipelines classiques dans Azure DevOps Server 2019.

  12. Sélectionnez Enregistrer & mettre en file d'attente, puis Enregistrer & mettre en file d'attente pour exécuter votre pipeline de build.

  13. Une fois l’exécution du pipeline terminée, sélectionnez Artefacts, puis déposer.

  14. Dans la fenêtre qui apparaît, sélectionnez déposer>secret.txt, sélectionnez l’icône points de suspension (...), puis sélectionner télécharger pour enregistrer le fichier texte.

  15. Ouvrez le fichier texte que vous venez de télécharger, il doit contenir le secret de votre coffre de clés Azure.

Avertissement

Ce didacticiel est destiné uniquement à des fins éducatives. Pour connaître les meilleures pratiques de sécurité et la façon de travailler en toute sécurité avec des secrets, consultez Gérer les secrets dans vos applications serveur avec Azure Key Vault.

Nettoyer les ressources

Suivez les étapes ci-dessous pour supprimer les ressources que vous avez créées :

  1. Si vous avez créé une organisation pour héberger votre projet, consultez Comment supprimer votre organisation, sinon supprimer votre projet.

  2. Toutes les ressources Azure créées au cours de ce didacticiel sont hébergées dans un seul groupe de ressources. Exécutez la commande suivante pour supprimer votre groupe de ressources et toutes ses ressources.

    az group delete --name <YOUR_RESOURCE_GROUP_NAME>
    

Forum aux questions

Q : Je reçois l’erreur suivante : « L’utilisateur ou le groupe n’a pas l’autorisation de liste de secrets. ». Que dois-je faire ?

R : Si vous rencontrez une erreur indiquant que l’utilisateur ou le groupe n’a pas l’autorisation de liste des secrets sur un coffre de clés, exécutez les commandes suivantes pour autoriser votre application à accéder à la clé ou au secret dans Azure Key Vault :

$ErrorActionPreference="Stop";
$Credential = Get-Credential;
Connect-AzAccount -SubscriptionId <YOUR_SUBSCRIPTION_ID> -Credential $Credential;
$spn=(Get-AzureRmADServicePrincipal -SPN <YOUR_SERVICE_PRINCIPAL_ID>);
$spnObjectId=$spn.Id;
Set-AzureRmKeyVaultAccessPolicy -VaultName key-vault-tutorial -ObjectId $spnObjectId -PermissionsToSecrets get,list;