Azure Key Vault-Secrets in Azure Pipelines verwenden

Erstellen einer benutzerseitig zugewiesenen verwalteten Identität

1. Wechseln Sie zum portal Azure, und suchen Sie dann in der Suchleiste nach Managed Identities.

2. Wählen Sie "Erstellen" aus, und geben Sie die folgenden Informationen an:

   • Abonnement: Wählen Sie Ihr Azure-Abonnement im Dropdownmenü aus.
   • Ressourcengruppe: Wählen Sie eine vorhandene Ressourcengruppe aus, oder erstellen Sie eine neue.
   • Region: Wählen Sie die Region aus, in der die verwaltete Identität erstellt wird.
   • Name: Geben Sie einen Namen für die vom Benutzer zugewiesene verwaltete Identität ein.

3. Wählen Sie "Überprüfen" und "Erstellen" und dann " Erstellen" aus, um die Bereitstellung zu starten.

4. Nachdem die Bereitstellung abgeschlossen ist, wählen Sie "Zur Ressource wechseln" aus, und kopieren Sie die Werte "Abonnement-ID " und "Client-ID ". Sie benötigen diese Werte in späteren Schritten.

5. Wählen Sie unter "Einstellungen" die Option "Eigenschaften" aus, und kopieren Sie den Mandanten-ID-Wert Ihrer verwalteten Identität für die spätere Verwendung.

Zugriffsrichtlinien für den Key Vault einrichten

1. Wechseln Sie zum portal Azure, und verwenden Sie die Suchleiste, um den zuvor erstellten Schlüsseltresor zu finden.

2. Wählen Sie Access-Richtlinien und dann "Erstellen" aus, um eine neue Richtlinie hinzuzufügen.

3. Aktivieren Sie unter "Geheime Berechtigungen" die Kontrollkästchen " Abrufen " und "Liste" .

4. Wählen Sie Weiteraus. Fügen Sie die Client-ID der verwalteten Identität, die Sie zuvor erstellt haben, in die Suchleiste ein, und wählen Sie dann die verwaltete Identität aus.

5. Wählen Sie Weiter und dann erneut Weiter aus.

6. Überprüfen Sie die Zugriffsrichtliniendetails, und wählen Sie dann "Erstellen " aus, um die Richtlinie anzuwenden.

Erstellen einer Dienstverbindung

1. Melden Sie sich bei Azure DevOps an, und wechseln Sie dann zu Ihrem Projekt.

2. Wählen Sie Projekteinstellungen>Dienstverbindungen>Neue Dienstverbindung aus.

3. Wählen Sie Azure Resource Manager und dann Weiter aus.

4. Wählen Sie für den Identitätstypverwaltete Identität aus.

5. Geben Sie unter Schritt 1: Details zur verwalteten Identität die folgenden Informationen an:

   • Abonnement für verwaltete Identität: Wählen Sie das Abonnement aus, das Ihre verwaltete Identität enthält.
   • Ressourcengruppe für verwaltete Identität: Wählen Sie die Ressourcengruppe aus, die Ihre verwaltete Identität hosten soll.
   • Verwaltete Identität: Wählen Sie Ihre verwaltete Identität aus der Dropdownliste aus.

6. Geben Sie für Schritt 2: Azure-Bereich die folgenden Informationen an:

   • Bereichsebene für die Dienstverbindung: Abonnement auswählen.
   • Abonnement für Dienstverbindung: Wählen Sie das Abonnement aus, auf das die verwaltete Identität zugreift.
   • Ressourcengruppe für Dienstverbindung: (Optional) Geben Sie eine Ressourcengruppe an, um den Zugriff der verwalteten Identität auf eine Ressourcengruppe einzuschränken.

7. Geben Sie für Schritt 3: Dienstverbindungsdetails die folgenden Informationen an:

   • Dienstverbindungsname: Geben Sie einen Namen für die Dienstverbindung ein.
   • Dienstverwaltungsreferenz: (Optional) Schließen Sie Kontextinformationen aus einer ITSM-Datenbank ein.
   • Beschreibung: (Optional) Geben Sie eine Beschreibung ein.

8. Unter "Sicherheit" ermöglicht die Option "Zugriffsberechtigung für alle Pipelines erteilen" allen Pipelines die Verwendung dieser Dienstverbindung. Diese Option wird nicht empfohlen. Autorisieren Sie stattdessen jede Pipeline einzeln, um die Dienstverbindung zu verwenden.

9. Wählen Sie Speichern aus, um die Dienstverbindung zu überprüfen und zu erstellen.

   

Zugriffsrichtlinien für den Key Vault einrichten

Um auf Ihren Key Vault zuzugreifen, müssen Sie zuerst einen Dienstprinzipal einrichten, um Zugriff auf Azure Pipelines zu gewähren.

1. Erstellen eines Dienstprinzipals

2. Wechseln Sie zum Azure-Portal und verwenden Sie die Suchleiste, um den Schlüsseltresor zu finden, den Sie zuvor erstellt haben.

3. Wählen Sie Zugriffsrichtlinien aus und dann "Erstellen".

4. Fügen Sie unter "Geheime Berechtigungen" die Berechtigungen "Abrufen" und "Liste" hinzu, und wählen Sie dann "Weiter" aus.

5. Fügen Sie für Prinzipal die Objekt-ID des Dienstprinzipals ein, wählen Sie den Dienstprinzipal aus, und wählen Sie dann Weiter aus.

6. Wählen Sie "Weiter" erneut aus, überprüfen Sie die Zugriffsrichtlinie, und wählen Sie dann "Speichern" aus.

Rollenzuweisung hinzufügen

Im nächsten Schritt erstellen Sie eine Azure Resource Manager Dienstverbindung für Ihren Dienstprinzipal. Bevor Sie die Verbindung überprüfen, müssen Sie:

• Gewähren Sie dem Dienstprinzipal Lesezugriff auf der Abonnementebene.
• Erstellen Sie einen Verbundnachweis für Ihren Dienstprinzipal.

Führen Sie die folgenden Schritte aus, um Lesezugriff auf Abonnementebene zu gewähren:

1. Wechseln Sie zum portal Azure, wählen Sie Subscriptions und dann Ihr Abonnement aus.

2. Wählen Sie Zugriffssteuerung (IAM) und anschließend Hinzufügen>Rollenzuweisung hinzufügen aus.

3. Wählen Sie auf der Registerkarte " Rolle " die Option " Reader" und dann "Weiter" aus.

4. Wählen Sie Benutzer, Gruppe oder Dienstprinzipal und dann Mitglieder auswählen aus.

5. Fügen Sie die Objekt-ID Ihres Dienstprinzipals in die Suchleiste ein, wählen Sie sie aus, und klicken Sie auf Auswählen.

6. Wählen Sie "Überprüfen + Zuweisen" aus, überprüfen Sie die Einstellungen, und wählen Sie dann "Überprüfen + Zuweisen" erneut aus, um die Rollenzuweisung anzuwenden.

Erstellen einer Dienstverbindung

1. Melden Sie sich bei Azure DevOps an, und wechseln Sie dann zu Ihrem Projekt.

2. Wählen Sie Project Settings>Service connections aus.

3. Wählen Sie Neue Dienstverbindung>Azure Resource Manager und dann Next aus.

4. Wählen Sie Dienstprinzipal (manuell) und dann Weiter aus.

5. Wählen Sie für den Identitätstypdie App-Registrierung oder verwaltete Identität (manuell) aus.

6. Wählen Sie für ZertifikatWorkload Identitätsverbund.

7. Geben Sie einen Namen für die Dienstverbindung ein, und wählen Sie dann "Weiter" aus.

8. Wählen Sie für EnvironmentAzure Cloud und für Abonnement-UmfangAbonnement aus.

9. Geben Sie Ihre Azure Abonnement-ID und den Abonnementnamen ein.

10. Fügen Sie für die Authentifizierung die Anwendungs-ID (Client-ID) und die Verzeichnis-ID (Mandanten-ID) Ihres Dienstprinzipals ein.

11. Unter "Sicherheit" ermöglicht die Option "Zugriffsberechtigung für alle Pipelines erteilen" allen Pipelines die Verwendung dieser Dienstverbindung. Diese Option wird nicht empfohlen. Autorisieren Sie stattdessen jede Pipeline einzeln, um die Dienstverbindung zu verwenden.

12. Lassen Sie dieses Fenster geöffnet. Sie kehren später zurück, um die Dienstverbindung zu überprüfen und zu speichern, nachdem Sie die Verbundanmeldeinformationen erstellt haben.

Eine Verbundanmeldeinformation für einen Dienstprinzipal erstellen

1. Wechseln Sie zum portal Azure, geben Sie die Client-ID Ihres Dienstprinzipals in die Suchleiste ein, und wählen Sie dann Ihre Anwendung aus.

2. Wählen Sie unter „Verwalten“ die Option „Zertifikate und geheime“>Föderierte Anmeldeinformationen.

3. Wählen Sie "Anmeldeinformationen hinzufügen" und dann für das Verbundanmeldeinformationsszenario"Andere Aussteller" aus.

4. Fügen Sie für Aussteller den Wert Aussteller ein, den Sie aus der Dienstverbindung kopiert haben.

5. Fügen Sie für den Subjektbezeichner den Subjektbezeichnerwert ein, den Sie aus der Dienstverbindung kopiert haben.

6. Geben Sie einen Namen für die Verbundanmeldeinformationen ein, und wählen Sie dann "Hinzufügen" aus.

7. Kehren Sie zu Ihrem Dienstverbindungsfenster zurück, und wählen Sie "Überprüfen" und "Speichern " aus, um Ihre Dienstverbindung zu speichern.

1. Melden Sie sich bei Azure DevOps an, und wechseln Sie dann zu Ihrem Projekt.

2. Wählen Sie Pipelines>Neue Pipeline aus.

3. Wählen Sie Azure Repos Git (YAML), und wählen Sie dann Ihr Repository.

4. Wählen Sie die Vorlage Startpipeline aus.

5. Die Standardpipeline enthält Beispiel-Echobefehle. Sie benötigen diese Befehle nicht, damit Sie sie entfernen können.

6. Fügen Sie Ihrer Pipeline die Azure Key Vault-Aufgabe hinzu. Ersetzen Sie die Platzhalter durch den Namen der Dienstverbindung, die Sie zuvor erstellt haben, und Ihren Kea Vault Namen. Ihre YAML-Datei sollte dem folgenden Beispiel ähneln:

   trigger:
   - main
   
   pool:
     vmImage: ubuntu-latest
   
   steps:
   - task: AzureKeyVault@2
     displayName: Azure Key Vault
     inputs:
       azureSubscription: 'SERVICE_CONNECTION_NAME'
       KeyVaultName: 'KEY_VAULT_NAME'
       SecretsFilter: '*'
       RunAsPreJob: false
   

7. Fügen Sie die folgenden Aufgaben hinzu, um den geheimen Schlüssel zu kopieren und zu veröffentlichen. Dieses Beispiel dient nur zu Demonstrationszwecken. Verwenden Sie es nicht in einer Produktionsumgebung.

   trigger:
   - main
   
   pool:
     vmImage: ubuntu-latest
   
   steps:
   - task: AzureKeyVault@2
     displayName: Azure Key Vault
     inputs:
       azureSubscription: 'SERVICE_CONNECTION_NAME'
       KeyVaultName: 'KEY_VAULT_NAME'
       SecretsFilter: '*'
       RunAsPreJob: false
   
   - task: CmdLine@2
     displayName: Create file
     inputs:
       script: 'echo $(SECRET_NAME) > secret.txt'
   
   - task: CopyFiles@2
     displayName: Copy file
     inputs:
       Contents: secret.txt
       targetFolder: '$(Build.ArtifactStagingDirectory)'
   
   - task: PublishBuildArtifacts@1
     displayName: Publish Artifact
     inputs:
       PathtoPublish: '$(Build.ArtifactStagingDirectory)'
       ArtifactName: 'drop'
       publishLocation: 'Container'
   

8. Wählen Sie Speichern und ausführen, und wählen Sie es dann noch einmal, um Ihre Änderungen zu bestätigen und die Pipeline zu starten. Wenn Sie dazu aufgefordert werden, wählen Sie "Zulassen ", um die Pipelinezugriff auf Azure-Ressourcen zu gewähren.

9. Nachdem die Pipeline gestartet wurde, wählen Sie die CmdLine-Aufgabe aus, um die Protokolle anzuzeigen.

   

10. Wenn die Pipelineausführung abgeschlossen ist, kehren Sie zur Pipeline-Zusammenfassung zurück und wählen Sie das veröffentlichte Artefakt aus.

    

11. Wählen Sie drop>secret.txt aus, um die Datei herunterzuladen.

    

12. Öffnen Sie die heruntergeladene Textdatei. Er sollte den geheimen Schlüssel enthalten, der aus Ihrem Schlüsseltresor abgerufen wurde.

1. Melden Sie sich bei Azure DevOps an, und wechseln Sie dann zu Ihrem Projekt.

2. Wählen Sie Pipelines und dann Neue Pipeline aus.

3. Wählen Sie Klassischen Editor verwenden, um eine klassische Pipeline zu erstellen.

4. Wählen Sie Azure Repos Git, wählen Sie Ihr Repository und Ihren Standardzweig und wählen Sie dann Weiter.

5. Wählen Sie die .NET Desktop-Pipelinevorlage aus.

6. In diesem Beispiel sind nur die letzten beiden Vorgänge erforderlich. Halten Sie STRG gedrückt, und wählen Sie dann die ersten fünf Vorgänge aus. Klicken Sie mit der rechten Maustaste, und wählen Sie dann "Ausgewählte Vorgänge entfernen" aus, um sie zu löschen.

   

7. Wählen Sie + aus, um eine neue Aufgabe hinzuzufügen. Suchen Sie nach der Befehlszeilenaufgabe , wählen Sie sie aus, und wählen Sie dann "Hinzufügen" aus. Konfigurieren Sie die Aufgabe:

   • Anzeigename: Geben Sie "Datei erstellen" ein.
   • Skript: Geben Sie echo $(SECRET_NAME) > secret.txtein.

   

8. Wählen Sie + aus, um eine neue Aufgabe hinzuzufügen. Suchen Sie nach der Azure Key Vault-Aufgabe , wählen Sie sie aus, und wählen Sie dann "Hinzufügen" aus. Konfigurieren Sie die Aufgabe:

   • Display-Name: Geben Sie Azure Key Vault ein.
   • Azure-Abonnement: Wählen Sie die zuvor erstellte Dienstverbindung aus.
   • Key Vault: Wählen Sie Ihren Key Vault aus.
   • Geheimer Filter: Geben Sie eine durch Trennzeichen getrennte Liste geheimer Namen ein, oder verwenden Sie ein Sternchen (*) zum Herunterladen aller geheimen Schlüssel.

   

9. Wählen Sie die Aufgabe " Dateien kopieren " aus, und konfigurieren Sie die folgenden Felder:

   • Anzeigename: Geben Sie "Datei kopieren" ein.
   • Inhalt: Geben Sie secret.txtein.
   • Zielordner: Geben Sie $(build.artifactstagingdirectory) ein.

   

10. Wählen Sie die Aufgabe "Artefakte veröffentlichen " aus, und konfigurieren Sie die folgenden Felder:

    • Anzeigename: Geben Sie "Publish Artifact" ein.
    • Pfad zur Veröffentlichung: Geben Sie $(build.artifactstagingdirectory) ein.
    • Artefaktname: Geben Sie drop ein.
    • Artifact-Veröffentlichungsort: Geben Sie Azure Pipelines ein.

    

11. Wählen Sie Speichern und in die Warteschlange stellen und wählen Sie dann Ausführen, um Ihre Pipeline auszuführen.

12. Nachdem die Pipelineausführung abgeschlossen ist, kehren Sie zur Pipeline-Zusammenfassung zurück und wählen Sie das veröffentlichte Artefakt aus.

13. Wählen Sie drop>secret.txt aus, um das Artefakt herunterzuladen.

    

14. Öffnen Sie die heruntergeladene Textdatei. Er sollte das Geheimnis enthalten, der aus Ihrem Key Vault abgerufen wurde.