Utilizar os segredos do Azure Key Vault nos Pipelines do Azure

Serviços de DevOps do Azure | Azure DevOps Server 2022 - Azure DevOps Server 2019

O Azure Key Vault permite que os desenvolvedores armazenem e gerenciem com segurança informações confidenciais, como chaves de API, credenciais ou certificados. O serviço Azure Key Vault dá suporte a dois tipos de contêineres: cofres e pools HSM (Módulo de Segurança de Hardware) gerenciados. Os Vaults podem armazenar software, segredos e certificados apoiados por HSM, enquanto os pools de HSM gerenciados suportam exclusivamente chaves apoiadas por HSM.

Neste tutorial, vai aprender a:

• Criar um Cofre da Chave do Azure usando a CLI do Azure
• Adicionar um segredo e configurar o acesso ao cofre de chaves do Azure
• Use segredos em seu pipeline

Pré-requisitos

• Uma organização e um projeto do Azure DevOps. Crie uma organização ou um projeto , caso ainda não o tenha feito.

• Uma subscrição do Azure. Crie uma conta do Azure gratuitamente se ainda não tiver uma.

Criar um repositório

Se você já tiver seu próprio repositório, prossiga para a próxima etapa. Caso contrário, siga as instruções abaixo para inicializar o repositório. Usaremos este repositório do Azure para configurar nosso pipeline.

1. Entre em sua organização do Azure DevOps e navegue até seu projeto.

2. Selecione Repositórios e, em seguida, selecione Inicializar para inicializar a ramificação principal com um LEIA-ME.

   

Criar um Azure Key Vault

1. Entre no Portal do Azure e selecione o botão Cloud Shell no canto superior direito.

2. Se você tiver mais de uma assinatura do Azure associada à sua conta, use o comando abaixo para especificar uma assinatura padrão. Pode utilizar az account list para gerar uma lista das suas subscrições.

   az account set --subscription <YOUR_SUBSCRIPTION_NAME_OR_ID>
   

3. Defina sua região padrão do Azure. Você pode usar az account list-locations para gerar uma lista de regiões disponíveis.

   az config set defaults.location=<YOUR_REGION>
   

4. Criar um novo grupo de recursos.

   az group create --name <YOUR_RESOURCE_GROUP_NAME>
   

5. Crie um novo Cofre da Chave do Azure.

   az keyvault create \
     --name <YOUR_KEY_VAULT_NAME> \
     --resource-group <YOUR_RESOURCE_GROUP_NAME>
   

6. Crie um novo segredo no seu cofre de chaves do Azure.

   az keyvault secret set \
     --name <YOUR_SECRET_NAME> \
     --value <YOUR_ACTUAL_SECRET> \
     --vault-name <YOUR_KEY_VAULT_NAME>
   

Configurar políticas de acesso ao cofre de chaves

Para acessar nosso Cofre da Chave do Azure, precisamos configurar uma entidade de serviço para conceder acesso ao Azure Pipelines. Siga este guia para criar uma entidade de serviço com a CLI do Azure e continue com as próximas etapas nesta seção.

1. Navegue até o portal do Azure e use a barra de pesquisa para localizar o cofre de chaves criado anteriormente.

   

2. Selecione Políticas de acesso e, em seguida, selecione Criar para criar uma nova política.

3. Em Permissões secretas, selecione Obter e Listar.

4. Selecione Avançar e, em seguida, selecione a entidade de serviço criada anteriormente. Uma entidade de serviço é um objeto que representa um aplicativo ou serviço que está solicitando acesso aos recursos do Azure.

5. Selecione Avançar e, em seguida , Avançar mais uma vez.

6. Reveja as suas políticas e, em seguida, selecione Criar quando terminar.

Nota

Não há suporte para os Cofres de Chaves do Azure que usam o controle de acesso baseado em função do Azure (Azure RBAC).

Adicionar atribuição de função

Na próxima etapa, criaremos uma conexão de serviço ARM usando a entidade de serviço. Antes de podermos verificar a conexão, precisamos conceder à entidade de serviço acesso de leitura no nível da assinatura:

1. Navegue até o portal do Azure

2. Selecione Subscrições no painel de navegação esquerdo e, em seguida, localize e selecione a sua subscrição.

3. Selecione Controle de acesso e, em seguida, selecione Adicionar>atribuição de função.

   

4. Selecione Leitor no separador Função e, em seguida, selecione Seguinte.

5. Selecione Utilizador, grupo ou entidade de serviço e, em seguida, selecione Selecionar membros.

   

6. Use a barra de pesquisa para encontrar sua entidade de serviço e, em seguida, selecione o sinal "+" para selecioná-lo e, em seguida, clique no botão Selecionar .

7. Selecione Rever + atribuir, reveja as suas definições e, em seguida, selecione Rever + atribuir mais uma vez para confirmar as suas escolhas e adicionar a atribuição de função.

Criar uma conexão de serviço

1. Entre em sua organização do Azure DevOps e navegue até seu projeto.

2. Selecione Configurações do>projeto Conexões de serviço e, em seguida, selecione Nova conexão de serviço para criar uma nova conexão de serviço.

3. Selecione Azure Resource Manager e, em seguida, selecione Next.

4. Selecione Entidade de serviço (manual) e, em seguida, selecione Seguinte.

5. Selecione Azure Cloud for Environment e Subscrição para o Nível de Âmbito e, em seguida, introduza o seu ID de Subscrição e o seu Nome de Subscrição.

6. Preencha os seguintes campos com as informações obtidas ao criar a entidade de serviço e selecione Verificar quando terminar:

   • ID da entidade de serviço: seu appId da entidade de serviço.
   • Chave da entidade de serviço: sua senha da entidade de serviço.
   • ID do locatário: seu locatário principal de serviço.

7. Quando a verificação for bem-sucedida, forneça um nome e uma descrição (opcional) para sua conexão de serviço e marque a caixa de seleção Conceder permissão de acesso a todos os pipelines .

8. Selecione Verificar e salvar quando terminar.

   

Criar um novo pipeline

Clássico

1. Entre em sua organização do Azure DevOps e navegue até seu projeto.

2. Selecione Pipelines e, em seguida, selecione New Pipeline.

3. Selecione Usar o editor clássico para criar um pipeline clássico.

4. Selecione Azure Repos Git, selecione seu repositório e ramificação padrão e selecione Continuar.

5. Selecione o modelo de pipeline .Net Desktop .

6. Para este exemplo, só precisaremos das duas últimas tarefas. Pressione CTRL e, em seguida, selecione as cinco primeiras tarefas, clique com o botão direito do mouse e escolha Remover tarefas(ões) selecionada(s) para excluí-las.

   

7. Selecione + para adicionar uma nova tarefa. Procure a tarefa Linha de comando , selecione-a e, em seguida, selecione Adicionar para adicioná-la ao seu pipeline. Uma vez adicionado, configure-o da seguinte forma:

   • Nome para exibição: Criar arquivo
   • Roteiro: echo $(YOUR_SECRET_NAME) > secret.txt

   

8. Selecione + para adicionar uma nova tarefa. Procure a tarefa Cofre da Chave do Azure, selecione-a e selecione Adicionar* para adicioná-la ao seu pipeline. Uma vez adicionado, configure-o da seguinte forma:

   • Nome para exibição: Azure Key Vault
   • Assinatura do Azure: selecione sua conexão de serviço principal de serviço que você criou anteriormente
   • Cofre de chaves: selecione o cofre de chaves
   • Filtro secreto: Uma lista separada por vírgulas de nomes secretos ou deixe * para baixar todos os segredos do cofre de chaves selecionado

   

9. Selecione a tarefa Copiar arquivos e preencha os campos obrigatórios da seguinte maneira:

   • Nome para exibição: Copiar arquivo
   • Índice: secret.txt
   • Pasta de destino: $(build.artifactstagingdirectory)

   

10. Selecione a tarefa Publicar artefatos e preencha os campos obrigatórios da seguinte maneira:

    • Nome para exibição: Publicar artefato
    • Caminho para publicação: $(build.artifactstagingdirectory)
    • Nome do artefato: drop
    • Local de publicação do artefato: Azure Pipelines

    

11. Selecione Salvar e enfileirar e, em seguida, selecione Executar para executar o pipeline.

12. Quando a execução do pipeline estiver concluída, retorne ao resumo do pipeline e selecione o artefato publicado.

13. Selecione soltar>secret.txt para baixar o artefato publicado.

    

14. Abra o arquivo de texto que você acabou de baixar, o arquivo de texto deve conter o segredo do seu cofre de chaves do Azure.

YAML

1. Entre em sua organização do Azure DevOps e navegue até seu projeto.

2. Selecione Pipelines e, em seguida, selecione New Pipeline.

3. Selecione Azure Repos Git (YAML) e, em seguida, selecione seu repositório.

4. Selecione o modelo de pipeline inicial.

5. O pipeline padrão incluirá um script que executa comandos echo. Estes não são necessários para que possamos eliminá-los.

6. Adicione a tarefa AzureKeyVault, substituindo os espaços reservados pelo nome da conexão de serviço que você criou anteriormente e o nome do cofre de chaves. Seu arquivo YAML deve ser semelhante ao seguinte trecho:

   trigger:
   - main
   
   pool:
     vmImage: ubuntu-latest
   
   steps:
   - task: AzureKeyVault@2
     displayName: Azure Key Vault
     inputs:
       azureSubscription: 'YOUR_SERVICE_CONNECTION_NAME'
       KeyVaultName: 'YOUR_KEY_VAULT_NAME'
       SecretsFilter: '*'
       RunAsPreJob: false
   

7. Vamos adicionar as seguintes tarefas para copiar e publicar nosso segredo. Este exemplo é apenas para fins de demonstração e não deve ser implementado em um ambiente de produção.

   trigger:
   - main
   
   pool:
     vmImage: ubuntu-latest
   
   steps:
   - task: AzureKeyVault@2
     displayName: Azure Key Vault
     inputs:
       azureSubscription: 'YOUR_SERVICE_CONNECTION_NAME'
       KeyVaultName: 'YOUR_KEY_VAULT_NAME'
       SecretsFilter: '*'
       RunAsPreJob: false
   
   - task: CmdLine@2
     displayName: Create file
     inputs:
       script: 'echo $(YOUR_SECRET_NAME) > secret.txt'
   
   - task: CopyFiles@2
     displayName: Copy file
     inputs:
       Contents: secret.txt
       targetFolder: '$(Build.ArtifactStagingDirectory)'
   
   - task: PublishBuildArtifacts@1
     displayName: Publish Artifact
     inputs:
       PathtoPublish: '$(Build.ArtifactStagingDirectory)'
       ArtifactName: 'drop'
       publishLocation: 'Container'
   

8. Selecione Salvar e executar e, em seguida, selecione-o mais uma vez para confirmar suas alterações e acionar o pipeline. Você pode ser solicitado a permitir o acesso do pipeline aos recursos do Azure, se solicitado, selecione Permitir. Você só terá que aprovar seu pipeline uma vez.

9. Selecione a tarefa CmdLine para exibir os logs.

   

10. Quando a execução do pipeline estiver concluída, retorne ao resumo do pipeline e selecione o artefato publicado.

    

11. Selecione soltar>secret.txt para baixá-lo.

    

12. Abra o arquivo de texto que você acabou de baixar, o arquivo de texto deve conter o segredo do seu cofre de chaves do Azure.

Aviso

Este tutorial é apenas para fins educacionais. Para obter as práticas recomendadas de segurança e como trabalhar com segredos com segurança, consulte Gerenciar segredos em seus aplicativos de servidor com o Azure Key Vault.

Clean up resources (Limpar recursos)

Siga as etapas abaixo para excluir os recursos que você criou:

1. Se você criou uma nova organização para hospedar seu projeto, veja como excluir sua organização, caso contrário , exclua seu projeto.

2. Todos os recursos do Azure criados durante este tutorial são hospedados em um único grupo de recursos. Execute o seguinte comando para excluir seu grupo de recursos e todos os seus recursos.

   az group delete --name <YOUR_RESOURCE_GROUP_NAME>
   

FAQ

P: Estou recebendo o seguinte erro: "o usuário ou grupo não tem permissão de lista de segredos" o que devo fazer?

R: Se você encontrar um erro indicando que o usuário ou grupo não tem permissão de lista de segredos no cofre de chaves, execute os seguintes comandos para autorizar seu aplicativo a acessar a chave ou segredo no Cofre de Chaves do Azure:

$ErrorActionPreference="Stop";
$Credential = Get-Credential;
Connect-AzAccount -SubscriptionId <YOUR_SUBSCRIPTION_ID> -Credential $Credential;
$spn=(Get-AzureRmADServicePrincipal -SPN <YOUR_SERVICE_PRINCIPAL_ID>);
$spnObjectId=$spn.Id;
Set-AzureRmKeyVaultAccessPolicy -VaultName key-vault-tutorial -ObjectId $spnObjectId -PermissionsToSecrets get,list;

Artigos relacionados

• Publicar e baixar artefatos de pipeline
• Artefactos de versão e origens de artefactos
• Use portões e aprovações para controlar a implantação