Usar segredos do Azure Key Vault no Azure Pipelines

Azure DevOps Services | Azure DevOps Server 2022 - Azure DevOps Server 2019

O Cofre de chaves do Azure permite que os desenvolvedores armazenem e gerenciem com segurança informações confidenciais, como chaves de API, credenciais ou certificados. O serviço do Cofre de chaves do Azure aceita dois tipos de contêiner: cofres e pools de HSM (módulo de segurança de hardware) gerenciado. Os cofres podem armazenar chaves, segredos e certificados com suporte de software e HSM, enquanto os pools HSM gerenciados oferecem suporte exclusivo a chaves apoiadas por HSM.

Neste tutorial, você aprenderá a:

• Criar um Azure Key Vault usando a CLI do Azure
• Adicionar um segredo e configurar o acesso ao cofre de chaves do Azure
• Usar segredos em seu pipeline

Pré-requisitos

• Uma organização do Azure DevOps e um projeto. Crie uma organização ou um projeto , caso ainda não tenha feito isso.

• Uma assinatura do Azure. Crie uma conta do Azure gratuitamente se você ainda não tiver uma.

Obter o código de exemplo

Se você já tiver seu próprio repositório, vá para a próxima etapa. Caso contrário, importe o repositório de exemplo a seguir para o Azure Repo.

1. Entre na sua organização do Azure DevOps e navegue até seu projeto.

2. Selecione Repositórios e, em seguida, selecione Importar. Insira a URL do repositório a seguir e selecione Importar.

   https://github.com/MicrosoftDocs/pipelines-dotnet-core
   

Criar um Cofre de chaves do Azure

1. Entre no portal do Azure e pressione o botão Cloud Shell no canto superior direito.

2. Se você tiver mais de uma assinatura do Azure associada à sua conta, use o comando abaixo para especificar uma assinatura padrão. Você pode usar az account list para gerar uma lista das suas assinaturas.

   az account set --subscription <YOUR_SUBSCRIPTION_NAME_OR_ID>
   

3. Defina sua região do Azure padrão. Você pode usar az account list-locations para gerar uma lista de regiões disponíveis.

   az config set defaults.location=<YOUR_REGION>
   

4. Crie um novo grupo de recursos.

   az group create --name <YOUR_RESOURCE_GROUP_NAME>
   

5. Crie um novo Azure Key Vault.

   az keyvault create \
     --name <YOUR_KEY_VAULT_NAME> \
     --resource-group <YOUR_RESOURCE_GROUP_NAME>
   

6. Crie um segredo no cofre de chaves do Azure.

   az keyvault secret set \
     --name <YOUR_SECRET_NAME> \
     --value <YOUR_ACTUAL_SECRET> \
     --vault-name <YOUR_KEY_VAULT_NAME>
   

Configurar a autenticação

Identidade Gerenciada

Criar uma identidade gerenciada atribuída ao usuário

1. Entre no portal do Azure e pesquise o serviço Identidades Gerenciadas na barra de pesquisa.

2. Selecione Criar e preencha os campos obrigatórios da seguinte maneira:

   • Assinatura: selecione sua assinatura no menu suspenso.
   • Grupo de recursos: Selecione um grupo de recursos existente ou crie um novo.
   • Região: Selecione uma região no menu suspenso.
   • Nome: insira um nome para sua identidade gerenciada atribuída pelo usuário.

3. Selecione Examinar + criar quando terminar.

4. Quando a implantação for concluída, selecione Ir para o recurso e copie os valores de Assinatura e ID do Cliente a serem usados nas próximas etapas.

5. Navegue até Propriedades de Configurações>e copie o valor da ID do locatário da identidade gerenciada para uso posterior.

Configurar políticas de acesso do cofre de chaves

1. Navegue até o portal do Azure e use a barra de pesquisa para localizar o cofre de chaves que você criou anteriormente.

2. Selecione Políticas de acesso e, em seguida, selecione Criar para adicionar uma nova política.

3. Em Permissões secretas, marque as caixas de seleção Obter e Listar .

4. Selecione Avançar e cole a ID do cliente da identidade gerenciada que você criou anteriormente na barra de pesquisa. Selecione sua identidade gerenciada.

5. Selecione Avançar e, em seguida , Avançar mais uma vez.

6. Examine suas novas políticas e selecione Criar quando terminar.

Criar uma conexão de serviço

1. Entre na sua organização do Azure DevOps e navegue até seu projeto.

2. Selecione Configurações do projeto>Conexões de serviço e selecione Nova conexão de serviço para criar uma conexão de serviço.

3. Selecione Azure Resource Manager e, em seguida, selecione Avançar.

4. Para Tipo de identidade, selecione Identidade gerenciada no menu suspenso.

5. Para Etapa 1: Detalhes da identidade gerenciada, preencha os campos da seguinte maneira:

   • Assinatura para identidade gerenciada: selecione a assinatura que contém sua identidade gerenciada.

   • Grupo de recursos para identidade gerenciada: selecione o grupo de recursos que hospeda sua identidade gerenciada.

   • Identidade gerenciada: selecione sua identidade gerenciada no menu suspenso.

6. Para Etapa 2: Escopo do Azure, preencha os campos da seguinte maneira:

   • Nível de escopo para conexão de serviço: selecione Assinatura.

   • Assinatura para conexão de serviço: selecione a assinatura que sua identidade gerenciada acessará.

   • Grupo de recursos para conexão de serviço: (opcional) especifique para limitar o acesso de identidade gerenciada a um grupo de recursos.

7. Para a Etapa 3: Detalhes da conexão de serviço:

   • Nome da conexão de serviço: forneça um nome para sua conexão de serviço.

   • Referência de Gerenciamento de Serviços: (Opcional) Informações de contexto de um banco de dados ITSM.

   • Descrição: (Opcional) Adicione uma descrição.

8. Em Segurança, marque a caixa de seleção Conceder permissão de acesso a todos os pipelines para permitir que todos os pipelines usem essa conexão de serviço. Se você não selecionar essa opção, deverá conceder acesso manualmente a cada pipeline que usa essa conexão de serviço.

9. Selecione Salvar para validar e criar a conexão de serviço.

   

Entidade de Serviço

Configurar políticas de acesso do cofre de chaves

Para acessar o Azure Key Vault, primeiro você deve configurar uma entidade de serviço para conceder acesso ao Azure Pipelines:

1. Criar uma entidade de serviço

2. Navegue até o portal do Azure e use a barra de pesquisa para localizar o cofre de chaves criado anteriormente.

3. Selecione Políticas de acesso e, em seguida, selecione Criar.

4. Em Permissões secretas, adicione as permissões Obter e Listar e selecione Avançar.

5. Para Principal, cole a ID de Objeto da entidade de serviço, selecione-a e, em seguida, selecione Avançar.

6. Selecione Avançar mais uma vez, examine suas políticas e selecione Salvar quando terminar.

Adicionar atribuição de função

Na próxima etapa, você criará uma conexão de serviço do ARM para sua entidade de serviço. Antes de verificar a conexão, você precisa: (1) conceder acesso de leitura à entidade de serviço no nível da assinatura e (2) criar uma credencial federada para sua entidade de serviço.

As etapas a seguir descrevem como conceder acesso de leitura no nível da assinatura:

1. Navegue até o portal do Azure, selecione Assinaturas e, em seguida, localize e selecione sua assinatura.

2. Selecione Controle de acesso e selecione Adicionar>Adicionar atribuição de função.

3. Selecione Leitor na guia Função e selecione Avançar.

4. Selecione Usuário, grupo ou entidade de serviço e Selecionar membros.

5. Cole a ID de Objeto da entidade de serviço na barra de pesquisa, selecione-a e, em seguida , Selecione.

6. Selecione Revisar + atribuir, revise suas configurações e selecione Revisar + atribuir mais uma vez para confirmar suas escolhas e adicionar a atribuição de função.

Criar uma conexão de serviço

1. Entre na sua organização do Azure DevOps e navegue até seu projeto.

2. Selecione Configurações do projeto e, em seguida, selecione Conexões de serviço.

3. Selecione Nova conexão de serviço, Azure Resource Manager e Avançar.

4. Selecione Entidade de serviço (manual) e, em seguida, selecione Avançar.

5. Para Tipo de identidade, selecione Registro de aplicativo ou identidade gerenciada (manual) no menu suspenso.

6. Para Credencial, selecione Federação de identidade de carga de trabalho.

7. Forneça um nome para sua conexão de serviço e selecione Avançar.

8. Selecione Azure Cloud for Environment e Subscription para o escopo Assinatura.

9. Insira sua ID de Assinatura do Azure e o Nome da Assinatura.

10. Em Autenticação, cole a ID do aplicativo (cliente) e a ID do diretório (locatário) da entidade de serviço

11. Em Segurança, marque a caixa de seleção Conceder permissão de acesso a todos os pipelines para permitir que todos os pipelines usem essa conexão de serviço. Se você não selecionar essa opção, deverá conceder acesso manualmente a cada pipeline que usa essa conexão de serviço.

12. Deixe essa janela aberta, você retornará para verificar e salvar sua conexão de serviço depois de criar a credencial federada no Azure.

Criar uma credencial federada de entidade de serviço

1. Navegue até o portal do Azure, insira o ClientID da entidade de serviço na barra de pesquisa e selecione seu aplicativo.

2. Em Gerenciar, selecione Certificados e segredos>Credenciais federadas.

3. Selecione Adicionar credencial e, em seguida, para Cenário de credencial federada, selecione Outro emissor.

4. Em Emissor, cole o Emissor que você copiou da conexão de serviço anteriormente.

5. Em Identificador de assunto, cole o Identificador de assunto que você copiou da conexão de serviço anteriormente.

6. Forneça um Nome para sua credencial federada e selecione Adicionar quando terminar.

7. Retorne à janela de conexão de serviço, selecione Verificar e salvar para salvar sua conexão de serviço.

Acessar segredos do cofre de chaves do pipeline

YAML

1. Entre na sua organização do Azure DevOps e navegue até seu projeto.

2. Selecione Pipelines e escolha Novo Pipeline.

3. Selecione Azure Repos Git (YAML) e, em seguida, selecione seu repositório.

4. Selecione o modelo Pipeline inicial.

5. O pipeline padrão incluirá um script que executa comandos echo. Eles não serão necessários, logo podemos excluí-los.

6. Adicione a tarefa AzureKeyVault, substituindo os espaços reservados pelo nome da conexão de serviço criada anteriormente e pelo nome do Cofre de chaves. O arquivo YAML deverá ser parecido com o seguinte snippet:

   trigger:
   - main
   
   pool:
     vmImage: ubuntu-latest
   
   steps:
   - task: AzureKeyVault@2
     displayName: Azure Key Vault
     inputs:
       azureSubscription: 'SERVICE_CONNECTION_NAME'
       KeyVaultName: 'KEY_VAULT_NAME'
       SecretsFilter: '*'
       RunAsPreJob: false
   

7. Vamos adicionar as seguintes tarefas para copiar e publicar nosso segredo. O exemplo é apenas para fins de demonstração e não deve ser implementado em um ambiente de produção.

   trigger:
   - main
   
   pool:
     vmImage: ubuntu-latest
   
   steps:
   - task: AzureKeyVault@2
     displayName: Azure Key Vault
     inputs:
       azureSubscription: 'SERVICE_CONNECTION_NAME'
       KeyVaultName: 'KEY_VAULT_NAME'
       SecretsFilter: '*'
       RunAsPreJob: false
   
   - task: CmdLine@2
     displayName: Create file
     inputs:
       script: 'echo $(SECRET_NAME) > secret.txt'
   
   - task: CopyFiles@2
     displayName: Copy file
     inputs:
       Contents: secret.txt
       targetFolder: '$(Build.ArtifactStagingDirectory)'
   
   - task: PublishBuildArtifacts@1
     displayName: Publish Artifact
     inputs:
       PathtoPublish: '$(Build.ArtifactStagingDirectory)'
       ArtifactName: 'drop'
       publishLocation: 'Container'
   

8. Selecione Salvar e executar e, em seguida, selecione mais uma vez para confirmar suas alterações e acionar o pipeline. Talvez seja solicitado que você permita o acesso do pipeline aos recursos do Azure, se solicitado, selecione Permitir. Você só precisará aprovar uma vez o pipeline.

9. Selecione a tarefa CmdLine para exibir os logs.

   

10. Quando a execução do pipeline estiver concluída, retorne ao resumo do pipeline e selecione o artefato publicado.

    

11. Selecione soltar>secret.txt para baixá-lo.

    

12. Abra o arquivo de texto que você acabou de baixar; o arquivo de texto deve conter o segredo do Cofre de chaves do Azure.

Clássico

1. Entre na sua organização do Azure DevOps e navegue até seu projeto.

2. Selecione Pipelines e escolha Novo Pipeline.

3. Selecione Usar o editor clássico para criar um pipeline clássico.

4. Selecione Azure Repos Git, selecione o repositório e a ramificação padrão e selecione Continuar.

5. Selecione o modelo de pipeline do .Net Desktop.

6. Para este exemplo, precisaremos apenas das duas últimas tarefas. Pressione CTRL e selecione as cinco primeiras tarefas, clique com o botão direito do mouse e escolha Remover tarefas selecionadas para excluí-las.

   

7. Selecione + para adicionar uma nova tarefa. Pesquise e selecione a tarefa Linha de comando e selecione Adicionar para adicioná-la ao pipeline. Após adicionar, configure-a da seguinte maneira:

   • Nome para exibição: Criar arquivo
   • Script: echo $(SECRET_NAME) > secret.txt

   

8. Selecione + para adicionar uma nova tarefa. Pesquise e selecione a tarefa Cofre de chaves do Azure e selecione Adicionar* para adicioná-la ao pipeline. Após adicionar, configure-a da seguinte maneira:

   • Nome para exibição: Cofre de chaves do Azure
   • Assinatura do Azure: selecione a conexão de serviço que você criou anteriormente
   • Cofre de chaves: selecione o cofre de chaves
   • Filtro secreto: uma lista separada por vírgulas de nomes secretos ou mantenha * para baixar todos os segredos do cofre de chaves selecionado

   

9. Selecione a tarefa Copiar arquivos e preencha os campos obrigatórios da seguinte maneira:

   • Nome para exibição: Copiar arquivo
   • Conteúdo: secret.txt
   • Pasta de destino: $(build.artifactstagingdirectory)

   

10. Selecione a tarefa Publicar artefatos e preencha os campos obrigatórios da seguinte maneira:

    • Nome para exibição: Publicar artefato
    • Caminho a ser publicado: $(build.artifactstagingdirectory)
    • Nome do artefato: soltar
    • Local de publicação do artefato: Azure Pipelines

    

11. Selecione Salvar e colocar em fila e selecione Executar para executar o pipeline.

12. Quando a execução do pipeline estiver concluída, retorne ao resumo do pipeline e selecione o artefato publicado.

13. Selecione soltar>secret.txt para baixar o artefato publicado.

    

14. Abra o arquivo de texto que você acabou de baixar; o arquivo de texto deve conter o segredo do Cofre de chaves do Azure.

Aviso

Este tutorial é somente para fins educacionais. Para obter as melhores práticas de segurança e como trabalhar em segurança com segredos, confira Gerenciar segredos em seus aplicativos de servidor com o Azure Key Vault.

Limpar os recursos

Siga as etapas abaixo para excluir os recursos que você criou:

1. Se você criou uma organização para hospedar o projeto, veja como excluir a organização ou excluir o projeto.

2. Todos os recursos do Azure criados durante o tutorial são hospedados em um único grupo de recursos. Execute o seguinte comando para excluir o grupo de recursos e todos os recursos pertinentes.

   az group delete --name <YOUR_RESOURCE_GROUP_NAME>
   

Perguntas frequentes

P: Estou recebendo o seguinte erro: "O usuário ou grupo não tem permissão de lista de segredos". O que devo fazer?

R: Se você encontrar um erro indicando que o usuário ou grupo não tem a permissão de lista de segredos no cofre de chaves, execute os seguintes comandos para autorizar seu aplicativo a acessar a chave ou o segredo no Azure Key Vault:

az account set --subscription <YOUR_SUBSCRIPTION_ID>

az login

$spnObjectId = az ad sp show --id <YOUR_SERVICE_PRINCIPAL_ID>

az keyvault set-policy --name <YOUR_KEY_VAULT_NAME> --object-id $spnObjectId --secret-permissions get list

Artigos relacionados

• Publicar e baixar artefatos de pipeline
• Lançar artefatos e fontes de artefatos
• Usar aprovações e gates para controlar a implantação