Azure Pipelines で Azure Key Vault シークレットを使用する

ユーザー割り当てマネージド ID を作成する

1. Azure ポータルに移動し、検索バーで管理 ID を検索します。

2. [ 作成] を選択し、次の情報を指定します。

   • サブスクリプション: ドロップダウン メニューから Azure サブスクリプションを選択します。
   • リソース グループ: 既存のリソース グループを選択するか、新しいリソース グループを作成します。
   • リージョン: マネージド ID が作成されるリージョンを選択します。
   • 名前: ユーザー割り当てマネージド ID の名前を入力します。

3. [ 確認と作成] を選択し、[ 作成 ] を選択してデプロイを開始します。

4. デプロイが完了したら、[ リソースに移動] を選択し、 サブスクリプション ID と クライアント ID の値をコピーします。 これらの値は、後の手順で必要になります。

5. [ 設定]で [プロパティ] を選択し、後で使用するためにマネージド ID の テナント ID の値をコピーします。

キー ボールトのアクセス ポリシーを設定する

1. Azure ポータル に移動し、検索バーを使用して、前に作成したキー コンテナーを見つけます。

2. [ アクセス ポリシー] を選択し、[ 作成 ] を選択して新しいポリシーを追加します。

3. [ シークレットのアクセス許可] で、[ 取得 ] チェック ボックスと [一覧] チェック ボックスをオンにします。

4. 次へを選択します。 先ほど作成したマネージド ID の クライアント ID を検索バーに貼り付け、マネージド ID を選択します。

5. 次へを選択してから、もう一度次へを選択します。

6. アクセス ポリシーの詳細を確認し、[ 作成 ] を選択してポリシーを適用します。

サービス接続を作成する

1. Azure DevOpsにサインインし、プロジェクトに移動します。

2. [プロジェクト設定]>[サービス接続]>[新サービス接続] の順に選択します。

3. [Azure Resource Manager] を選択してから、[次へ] を選択します。

4. [ID の種類] で、[マネージド ID] を選択します。

5. [手順 1: マネージド ID の詳細] で、次の情報を入力します。

   • マネージド ID のサブスクリプション: マネージド ID を含むサブスクリプションを選択します。
   • マネージド ID のリソース グループ: マネージド ID をホストするリソース グループを選択します。
   • マネージド ID: ドロップダウン リストからマネージド ID を選択します。

6. 手順 2: Azure スコープの場合は、次の情報を指定します。

   • サービス接続のスコープ レベル: [サブスクリプション] を選択します。
   • サービス接続のサブスクリプション: マネージド ID がアクセスするサブスクリプションを選択します。
   • サービス接続のリソース グループ: (省略可能) マネージド ID のアクセスを 1 つのリソース グループに制限するリソース グループを指定します。

7. 手順 3: サービス接続の詳細については、次の情報を指定します。

   • サービス接続名: サービス接続の名前を入力します。
   • サービス管理リファレンス: (省略可能) ITSM データベースからのコンテキスト情報を含めます。
   • 説明: (省略可能) 説明を入力します。

8. [ セキュリティ] の [ すべてのパイプラインにアクセス許可を付与 する] オプションでは、すべてのパイプラインでこのサービス接続を使用できます。 このオプションはお勧めしません。 代わりに、 サービス接続を使用するように各パイプラインを個別に承認します。

9. [保存] を選択し、サービス接続を確認して作成します。

   

キー ボールトのアクセス ポリシーを設定する

キー コンテナーにアクセスするには、まず、Azure Pipelinesへのアクセスを許可するサービス プリンシパルを設定する必要があります。

1. サービス プリンシパルを作成します。

2. Azure ポータル に移動し、検索バーを使用して、前に作成したキー コンテナーを見つけます。

3. Access ポリシーを選択し、Create を選択します。

4. Secret アクセス許可で、Get と List アクセス許可を追加し、 Next を選択します。

5. [ プリンシパル] で、サービス プリンシパルのオブジェクト ID を貼り付け、サービス プリンシパルを選択して、[ 次へ] を選択します。

6. もう一度 [次へ ] を選択し、アクセス ポリシーを確認して、[ 保存] を選択します。

ロール割り当ての追加

次の手順では、サービス プリンシパルのAzure Resource Managerサービス接続を作成します。 接続を確認する前に、次のことを行う必要があります。

• サービス プリンシパルの閲覧者にサブスクリプション レベルでアクセス権を付与します。
• サービス プリンシパル用のフェデレーション資格情報を作成します。

サブスクリプション レベルで閲覧者アクセス権を付与するには、次の手順に従います。

1. Azure ポータルに移動し、Subscriptions を選択し、サブスクリプションを選択します。

2. [アクセス制御 (IAM)] を選択してから、[追加]>[ロール割り当ての追加] の順に選択します。

3. [ ロール ] タブで、[ 閲覧者] を選択し、[ 次へ] を選択します。

4. [ユーザー、グループ、またはサービス プリンシパル] を選んでから、[メンバーの選択] を選びます。

5. サービス プリンシパルのオブジェクト ID を検索バーに貼り付けてから選択し、選択をクリックします。

6. [ 確認と割り当て] を選択し、設定を確認し、[ 確認と割り当て ] をもう一度選択してロールの割り当てを適用します。

サービス接続を作成する

1. Azure DevOpsにサインインし、プロジェクトに移動します。

2. プロジェクト設定>サービス接続 を選択します。

3. 新しいサービス接続>Azure Resource Managerを選択し、Next を選択します。

4. [サービス プリンシパル (自動)] を選択し、[次へ] を選択します。

5. [ID の種類] で、[アプリの登録] または [マネージド ID (手動)] を選択します。

6. Credentialで、Workload ID フェデレーションを選択します。

7. サービス接続の名前を入力し、[ 次へ] を選択します。

8. Environment で Azure Cloud を選択し、Subscription scope で Subscription を選択します。

9. Azureサブスクリプション ID とサブスクリプション名を入力します。

10. 認証の場合は、サービス プリンシパルのアプリケーション (クライアント) ID とディレクトリ (テナント) ID を貼り付けます。

11. [ セキュリティ] の [ すべてのパイプラインにアクセス許可を付与 する] オプションでは、すべてのパイプラインでこのサービス接続を使用できます。 このオプションはお勧めしません。 代わりに、 サービス接続を使用するように各パイプラインを個別に承認します。

12. このウィンドウは開いたままにします。 フェデレーション資格情報を作成した後、後でサービス接続を確認して保存するために戻ります。

サービス プリンシパルのフェデレーション認証情報を作成する

1. Azure ポータルに移動し、検索バーにサービス プリンシパルのクライアント ID を入力して、アプリケーションを選択します。

2. Manage で、Certificates & シークレットフェデレーション資格情報を選択します。

3. 資格情報の追加を選択し、フェデレーテッド資格情報シナリオでその他の発行者を選択します。

4. [発行者] に、サービス接続からコピーした発行者の値を貼り付けます。

5. [サブジェクト識別子] に、サービス接続からコピーしたサブジェクト識別子の値を貼り付けます。

6. フェデレーション資格情報の名前を入力し、[ 追加] を選択します。

7. サービス接続ウィンドウに戻り、[ 確認と保存] を選択してサービス接続を保存します。

1. Azure DevOpsにサインインし、プロジェクトに移動します。

2. [ パイプライン>新しいパイプライン] を選択します。

3. [Azure Repos Git (YAML)] を選択し、リポジトリを選択します。

4. [スタート パイプライン] テンプレートを選択します。

5. 既定のパイプラインには、サンプルエコー コマンドが含まれています。 これらのコマンドは必要ないため、削除できます。

6. Azure Key Vault タスクをパイプラインに追加します。 プレースホルダーを、以前に作成したサービス接続の名前とキー ボールト名に置き換えます。 YAML ファイルは次の例のようになります。

   trigger:
   - main
   
   pool:
     vmImage: ubuntu-latest
   
   steps:
   - task: AzureKeyVault@2
     displayName: Azure Key Vault
     inputs:
       azureSubscription: 'SERVICE_CONNECTION_NAME'
       KeyVaultName: 'KEY_VAULT_NAME'
       SecretsFilter: '*'
       RunAsPreJob: false
   

7. 次のタスクを追加して、シークレットをコピーして発行します。 この例は デモンストレーションのみを目的としています。 運用環境では使用しないでください。

   trigger:
   - main
   
   pool:
     vmImage: ubuntu-latest
   
   steps:
   - task: AzureKeyVault@2
     displayName: Azure Key Vault
     inputs:
       azureSubscription: 'SERVICE_CONNECTION_NAME'
       KeyVaultName: 'KEY_VAULT_NAME'
       SecretsFilter: '*'
       RunAsPreJob: false
   
   - task: CmdLine@2
     displayName: Create file
     inputs:
       script: 'echo $(SECRET_NAME) > secret.txt'
   
   - task: CopyFiles@2
     displayName: Copy file
     inputs:
       Contents: secret.txt
       targetFolder: '$(Build.ArtifactStagingDirectory)'
   
   - task: PublishBuildArtifacts@1
     displayName: Publish Artifact
     inputs:
       PathtoPublish: '$(Build.ArtifactStagingDirectory)'
       ArtifactName: 'drop'
       publishLocation: 'Container'
   

8. [保存して実行]を選択し、もう一度選択して変更をコミットし、パイプラインをトリガーします。 メッセージが表示されたら、[ 許可 ] を選択して、Azure リソースへのアクセス権をパイプラインに付与します。

9. パイプラインが開始されたら、 CmdLine タスクを選択してログを表示します。

   

10. パイプラインの実行が完了したら、パイプラインの概要に戻り、発行された成果物を選択します。

    

11. drop>secret.txt を選択してファイルをダウンロードします。

    

12. ダウンロードしたテキスト ファイルを開きます。 キー コンテナーから取得したシークレットがあることが必要です。

1. Azure DevOpsにサインインし、プロジェクトに移動します。

2. [パイプライン] を選択してから [新しいパイプライン] を選択します。

3. [クラシック エディターを使用する] を選択して、クラシック パイプラインを作成します。

4. [Azure Repos Git] を選択し、リポジトリと既定のブランチを選択して、 [続行]を選択します。

5. [.NET デスクトップ] パイプライン テンプレートを選択します。

6. この例では、最後の 2 つのタスクのみが必要です。 Ctrl キーを押しながら、最初の 5 つのタスクを選択します。 右クリックし、[ 選択したタスクの削除 ] を選択して削除します。

   

7. + を選択して、新しいタスクを追加します。 コマンド ライン タスクを検索して選択し、[追加] を選択します。 タスクを構成します。

   • 表示名: 「 ファイルの作成」と入力します。
   • スクリプト: echo $(SECRET_NAME) > secret.txtを入力します。

   

8. + を選択して、新しいタスクを追加します。 Azure Key Vault タスクを検索して選択し、[追加] を選択します。 タスクを構成します。

   • 表示名: Azure Key Vault と入力。
   • Azure サブスクリプション: 前に作成したサービス接続を選択します。
   • キー コンテナー: キー コンテナーを選択します。
   • シークレット フィルター: シークレット名のコンマ区切りの一覧を入力するか、アスタリスク (*) を使用してすべてのシークレットをダウンロードします。

   

9. [ファイルのコピー] タスクを選択し、次のフィールドを構成します。

   • 表示名: ファイルのコピーを入力します。
   • 内容:secret.txtを入力 します 。
   • ターゲット フォルダー: $(build.artifactstagingdirectory) と入力します。

   

10. [成果物の発行] タスクを選択し、次のフィールドを構成します。

    • 表示名: 「成果物の発行」と入力します。
    • 発行するパス: $(build.artifactstagingdirectory) を入力します。
    • アーティファクト名: 「drop」と入力。
    • Artifact の発行場所: 「Azure Pipelines」と入力します。

    

11. [保存してキュー] を選択し、[実行] を選択してパイプラインを開始します。

12. パイプラインが完了したら、パイプラインの概要に戻り、発行された成果物を選択します。

13. drop>secret.txt を選択して成果物をダウンロードします。

    

14. ダウンロードしたテキスト ファイルを開きます。 キー ボールトから取得したシークレットが含まれていることが必要です。