パイプラインからプライベート Key Vault へのアクセス

Azure DevOps から秘密キー コンテナーにアクセスする

このセクションでは、Azure DevOpsから秘密キー コンテナーにアクセスするための 2 つの方法について説明します。 最初に、変数グループを使用してキー コンテナーからシークレットをリンクおよびマップし、続いて静的 IP 範囲を許可して受信アクセスを設定します。 Azure Pipelines は、変数グループから Azure Key Vault に対してクエリを実行するときに、Azure DevOps 公開IPアドレスを使用するため、着信アクセスを設定します。 Key Vault ファイアウォールに受信接続を追加することで、Azureキー コンテナーに正常に接続できます。

2 番目の方法では、Microsoftホストされるエージェントの IP アドレスをキー コンテナーのファイアウォール許可リストに動的に追加し、キー コンテナーのクエリを実行し、完了後に IP を削除する方法を示します。 この 2 つ目の方法は、デモンストレーションのみを目的としています。 この方法は、Azure Pipelinesにはお勧めしません。

手順 1: キー コンテナーシークレットを変数グループにマップする

手順 2: Azure DevOpsからの受信アクセスを構成する

Azure DevOps から Key Vault へのアクセスを有効にするには、特定の静的 IP 範囲からのアクセスを許可する必要があります。 これらの範囲は、Azure DevOps組織の地理的な場所によって決まります。

1. Azure DevOps 組織にサインインします。

2. [組織の設定] を選択します。

3. [ 概要 ] に移動して地理的な場所を見つけます。

   

4. 地理的な IP V4 範囲を見つけます。

   重要

   米国受信接続の場合は、必ずすべての米国リージョンの IP 範囲を追加してください。

5. 静的 IP 範囲からのアクセスを許可するように Key Vault を構成します。

手順 3: 変数グループを使用して秘密キー コンテナーにクエリを実行する

この例では、以前に設定され、サービス プリンシパルで承認された変数グループを使用して、リンクされた変数グループを使用して、プライベート Azure キー コンテナーからシークレットのクエリとコピーを行います。 Azure Pipelinesは、変数グループから Azure キー コンテナーに対してクエリを実行するときに、ポストされたパブリック IP を使用するため、このアクションが正常に機能するには、構成された受信アクセスを使用してください。

variables:
-  group: mySecret-VG

steps:
- task: CmdLine@2
  inputs:
    script: 'echo $(mySecret) > secret.txt'

- task: CopyFiles@2
  inputs:
    Contents: secret.txt
    targetFolder: '$(Build.ArtifactStagingDirectory)'

- task: PublishBuildArtifacts@1
  inputs:
    PathtoPublish: '$(Build.ArtifactStagingDirectory)'
    ArtifactName: 'drop'
    publishLocation: 'Container'

代替方法: Microsoftホストされるエージェント IP を動的に許可する

この 2 つ目の方法では、パイプラインの先頭にあるMicrosoftホストされるエージェントの IP に対してクエリを実行します。 次に、キー ボールトの許可リストに追加します。 残りのタスクに進み、キー コンテナーのファイアウォール許可リストから IP を削除します。

- task: AzurePowerShell@5
  displayName: 'Allow agent IP'
  inputs:
    azureSubscription: 'YOUR_SERVICE_CONNECTION_NAME'
    azurePowerShellVersion: LatestVersion
    ScriptType: InlineScript
    Inline: |
     $ip = (Invoke-WebRequest -uri "http://ifconfig.me/ip").Content
     Add-AzKeyVaultNetworkRule -VaultName "YOUR_KEY_VAULT_NAME" -ResourceGroupName "YOUR_RESOURCE_GROUP_NAME" -IpAddressRange $ip
     echo "##vso[task.setvariable variable=agentIP]ip"

- task: AzureKeyVault@2
  inputs:
    azureSubscription: 'YOUR_SERVICE_CONNECTION_NAME'
    KeyVaultName: 'YOUR_KEY_VAULT_NAME'
    SecretsFilter: '*'
    RunAsPreJob: false

- task: AzurePowerShell@5
  displayName: 'Remove agent IP'
  inputs:
    azureSubscription: 'YOUR_SERVICE_CONNECTION_NAME'
    azurePowerShellVersion: LatestVersion
    ScriptType: InlineScript
    Inline: |
     $ipRange = $env:agentIP + "/32"
     Remove-AzKeyVaultNetworkRule -VaultName "YOUR_KEY_VAULT_NAME" -IpAddressRange $ipRange
  condition: succeededOrFailed()

セルフホステッド エージェントからプライベート Key Vault にアクセスする

Azure Pipelines エージェントから秘密キー保管庫にアクセスするには、セルフホステッド エージェント (Windows、Linux、またはMac) またはVirtual Machine Scale Sets エージェントを使用する必要があります。 この要件は、他Microsoft汎用コンピューティング サービスと同様に、ホストされるエージェントがキー コンテナーの信頼されたサービスの一覧に含まれていないためです。

プライベート キー コンテナとの接続を確立するには、キー コンテナのプライベート エンドポイントを構成して、見通し通信を指定する必要があります。 このエンドポイントはルーティング可能であり、そのプライベート ドメイン ネーム システム名をセルフホステッド パイプライン エージェントから解決できる必要があります。

手順 1: セルフホステッド エージェントからの受信アクセスを構成する

1. 手順に従って 仮想ネットワークを作成します。

2. Azure ポータルで、ページの上部にある検索バーを使用して、Azureキー コンテナーを見つけます。

3. キー コンテナーを選択し、 設定>Networking に移動します。

4. [プライベート エンドポイント接続]、[作成] の順に選択し、新しいプライベート エンドポイントを作成します。

   新しいプライベート エンドポイント接続を作成する方法を示す Azure キー ボルトのスクリーンショット

5. 前に作成した仮想ネットワークをホストするリソース グループを選択します。 インスタンスの名前とネットワーク インターフェイス名を入力し、先ほど作成した仮想ネットワークと同じリージョンを選択していることを確認します。 次へを選択します。

   Azure Key Vault の新しいプライベート エンドポイント インスタンスを作成するときに [基本] タブを構成する方法を示すスクリーンショット。

6. Connection メソッドで、ディレクトリ内のAzure リソースに接続 を選択します。 リソースの種類で、ドロップダウン メニューからMicrosoft.KeyVault/vaultsを選択します。 ドロップダウン メニューからリソースを選択します。 ターゲット サブリソース には、値 ボールト が自動的に設定されます。 次へを選択します。

   

7. Virtual Network タブで、前に作成したvirtual networkとサブネットを選択し、残りのフィールドは既定値のままにします。 次へを選択します。

8. [DNS] タブと [タグ] タブの既定の設定をそのまま使用します。 [確認と作成] タブで、[作成] を選択します。

9. リソースがデプロイされたら、キー コンテナーに移動し 、設定>Networking>Private エンドポイント接続を選択します。 プライベート エンドポイントは、[ 接続] 状態 が [承認済み] と表示されている必要があります。 別のディレクトリ内のAzure リソースにリンクする場合は、リソース所有者が接続要求を承認するのを待つ必要があります。

   

手順 2: 仮想ネットワークを許可する

1. Azure ポータル に移動し、Azureキー コンテナーを見つけます。

2. > ネットワーク] を選択し、[ファイアウォールと仮想ネットワーク] タブにいることを確認します。

3. [仮想ネットワークを追加]>[既存の仮想ネットワークを追加] の順に選択します。

4. ドロップダウン メニューからサブスクリプションを選択し、先ほど作成した仮想ネットワークを選択し、サブネットを選択します。

5. [ 追加] を選択し、ページの一番下までスクロールし、[ 適用 ] を選択して変更を保存します。

   

手順 3: セルフホステッド エージェントからプライベートキー ボールトにクエリを実行する

次の例では、仮想ネットワークの仮想マシンに設定されたエージェントを使用して、変数グループを介して秘密キー コンテナーに対してクエリを実行します。

pool: Self-hosted-pool

variables:
  group: mySecret-VG

steps:
- task: CmdLine@2
  inputs:
    script: 'echo $(mySecret) > secret.txt'

- task: CopyFiles@2
  inputs:
    Contents: secret.txt
    targetFolder: '$(Build.ArtifactStagingDirectory)'

- task: PublishBuildArtifacts@1
  inputs:
    PathtoPublish: '$(Build.ArtifactStagingDirectory)'
    ArtifactName: 'drop'
    publishLocation: 'Container'

秘密キー コンテナーへの受信アクセスAzure DevOps許可しない場合は、AzureKeyVault タスクを使用して、キー コンテナーのクエリを実行できます。 キー コンテナーのファイアウォール設定でエージェントをホストする仮想ネットワークを許可する必要があります。

pool: Self-hosted-pool

steps:
- task: AzureKeyVault@2
  inputs:
    azureSubscription: '$(SERVICE_CONNECTION_NAME)'
    keyVaultName: $(KEY_VAULT_NAME)
    SecretsFilter: '*'

- task: CmdLine@2
  inputs:
    script: 'echo $(mySecret) > secret.txt'

- task: CopyFiles@2
  inputs:
    Contents: secret.txt
    targetFolder: '$(Build.ArtifactStagingDirectory)'

- task: PublishBuildArtifacts@1
  inputs:
    PathtoPublish: '$(Build.ArtifactStagingDirectory)'
    ArtifactName: 'drop'
    publishLocation: 'Container'