パイプラインで Azure Key Vault のシークレットを使用する

Azure DevOps Services | Azure DevOps Server 2022 - Azure DevOps Server 2019

Azure Key Vault を使うことで、パスワード、API キー、証明書などの機密情報を安全に格納して管理できます。 Azure Key Vault を使うと、データを暗号化するための暗号化キーを簡単に作成して管理できます。 Azure Key Vault は、すべてのリソースの証明書を管理するために使うこともできます。 この記事では、次の方法について学習します。

• Azure Key Vault を作成します。
• Key Vault のアクセス許可を構成する。
• 新しいサービス接続を作成する。
• Azure Pipeline からシークレットのクエリを実行する。

前提条件

• Azure DevOps 組織。 まだ持っていない場合は、無料のものを作成します。
• 自分のプロジェクト。 まだない場合は、プロジェクトを作成します。
• 自分のリポジトリ。 まだない場合は、新しい Git リポジトリを作成します。
• Azure サブスクリプション。 まだない場合は、無料の Azure アカウントを作成します。

Key Vault の作成

Azure Portal

1. Azure ポータルにサインインしリソースの作成選択。

2. Key Vault で Create を選択して新しい Azure Key Vault を作成します。

3. ドロップダウン メニューから Subscription を選択し、既存の Resource グループを選択 または新しいグループを作成します。 Key コンテナー名を入力、Regionを選択し、Pricing レベルを選択し、追加のプロパティを構成する場合は Next を選択します。 それ以外の場合は、 Review + create を選択して既定の設定を維持します。

4. デプロイが完了したら、[リソースに移動] を選択します。

Azure CLI

1. まず、既定のリージョンと Azure サブスクリプションを設定します。

   • 既定のサブスクリプションを設定します。

   az account set --subscription <your_subscription_name_or_subscription_ID>
   

   • 既定のリージョンを設定します。

   az config set defaults.location=<your_region>
   

2. Azure キー コンテナーをホストする新しいリソース グループを作成します リソース グループは、Azure ソリューションの関連リソースを保持するコンテナーです。

   az group create --name <your-resource-group>
   

3. 新しい Azure Key Vault を作成します。

   az keyvault create \
     --name <your-key-vault-name> \
     --resource-group <your-resource-group>
   

認証の設定

マネージド ID

ユーザー割り当てマネージド ID を作成する

1. Azure ポータルにサインインし、検索バーで Managed Identities サービスを検索します。

2. [作成] を選択し、次のように必須フィールドに入力します。

   • サブスクリプション: ドロップダウン メニューからサブスクリプションを選択します。
   • リソース グループ: 既存のリソース グループを選択するか、新しいリソース グループを作成します。
   • リージョン: ドロップダウン メニューからリージョンを選択します。
   • 名前: ユーザー割り当てマネージド ID の名前を入力します。

3. 完了したら [確認と作成] を選択します。

4. デプロイが完了したら、 リソースに移行を選択し、次の手順で使用する Subscription と Client ID 値をコピーします。

5. Settings>Properties に移動し、後で使用するためにマネージド ID の Tenant ID 値をコピーします。

キー コンテナーのアクセス ポリシーをセットアップする

1. Azure ポータルに移動し、検索バーを使用して、前に作成したキー コンテナーを見つけます。

2. Access ポリシーを選択し、Create を選択して新しいポリシーを追加します。

3. [アクセス許可ので、Get と List チェック ボックスをオンにします。

4. [次へ] を選択し、先ほど作成したマネージド ID の Client ID を検索バーに貼り付けます。 [マネージド ID] を選択します。

5. [次へ] を選択し、もう一度 [次へをします。

6. 新しいポリシーを確認し、完了したら Create を選択します。

サービス接続を作成する

1. Azure DevOps 組織にサインインしてから、プロジェクトに移動します。

2. プロジェクト設定>サービス接続を選択し、 新しいサービス接続 を選択して新しいサービス接続を作成します。

3. Azure Resource Manager を選択し、 Next を選択します。

4. 識別子の種類で、ドロップダウン メニューから Managed ID を選択します。

5. 手順 1: マネージド ID の詳細では、次のようにフィールドに入力します。

   • マネージド ID のサブスクリプション: マネージド ID を含むサブスクリプションを選択します。

   • マネージド ID のリソース グループ: マネージド ID をホストしているリソース グループを選択します。

   • マネージド ID: ドロップダウン メニューからマネージド ID を選択します。

6. Step 2: Azure Scope の場合は、次のようにフィールドに入力します。

   • サービス接続のスコープ レベル: [サブスクリプション] を選択します。

   • サービス接続のサブスクリプション: マネージド ID がアクセスするサブスクリプションを選択します。

   • サービス接続のリソース グループ: (省略可能) マネージド ID アクセスを 1 つのリソース グループに制限するように指定します。

7. 手順 3: サービス接続の詳細:

   • サービス接続名: サービス接続の名前を指定します。

   • サービス管理リファレンス: (省略可能) ITSM データベースからのコンテキスト情報。

   • 説明: (省略可能) 説明を追加します。

8. Securityで、すべてのパイプラインに対するアクセス許可を付与するチェック ボックスをオンにして、すべてのパイプラインでこのサービス接続を使用できるようにします。 このオプションを選択しない場合は、このサービス接続を使用する各パイプラインへのアクセス権を手動で付与する必要があります。

9. [保存] を選択し、サービス接続を確認して作成します。

   

サービス プリンシパル

サービス プリンシパルの作成

この手順では、Azure に新しいサービス プリンシパルを作成し、Azure Pipelines から Azure Key Vault にクエリを実行できるようにします。

1. Azure ポータルに移動しメニュー バーから >_ アイコンを選択して、Cloud Shell を開きます。

2. PowerShell を選択するか、設定に基づいて Bash のままにします。

3. 次のコマンドを実行して、新しいサービス プリンシパルを作成します。

   az ad sp create-for-rbac --name YOUR_SERVICE_PRINCIPAL_NAME
   

4. 出力は次の例のようになるはずです。 コマンドの出力は必ずコピーしておいてください。これは、次の手順でサービス接続を作成するときに必要になります。

   {
     "appId": "00001111-aaaa-2222-bbbb-3333cccc4444",
     "displayName": "MyServicePrincipal",
     "password": "***********************************",
     "tenant": "aaaabbbb-0000-cccc-1111-dddd2222eeee"
   }
   

サービス接続を作成する

1. Azure DevOps 組織にサインインしてから、プロジェクトに移動します。

2. [プロジェクトの設定] を選択し、[サービス接続] を選択します。

3. [新しいサービス接続] を選び、[Azure Resource Manager] を選んでから、[次へ] を選びます。

4. [サービス プリンシパル (自動)] を選択し、[次へ] を選択します。

5. Identity Typeで、ドロップダウン メニューから App registration or managed identity (manual)を選択します。

6. Credential* の場合は、Workload ID フェデレーションを選択します。

7. サービス接続の名前を指定し、 [次へ] を選択します。

8. IssuerとSubject 識別子をコピーします次の手順で必要になります。

9. EnvironmentAzure Cloud を選択しサブスクリプション スコープにSubscriptionを選択。

10. Azure Subscription ID と Subscription の名前を入力します。

11. Authenticationの場合は、サービス プリンシパルの アプリケーション (クライアント) ID と Directory (テナント) ID を貼り付けます

12. Security で、[すべてのパイプラインに対するアクセス許可を許可する] チェック ボックスをオンにして、すべてのパイプラインがこのサービス接続を使用できるようにします。 このオプションを選択しない場合は、このサービス接続を使用する各パイプラインへのアクセス権を手動で付与する必要があります。

13. これを開いたままにしておきます。(1) Azure でフェデレーション資格情報を作成し、(2) サブスクリプション レベルでサービス プリンシパルの読み取りアクセス権を付与した後、確認と保存に戻ります。

    

Azure でフェデレーション資格情報を作成する

1. Azure ポータルに移動し、検索バーにサービス プリンシパルの ClientID を入力し、Application を選択します。

2. Manage で、Certificates > シークレット>Federated 資格情報を選択します。

3. 資格情報の追加を選択し、Federated 資格情報シナリオの場合その他の発行者選択します。

4. Issuerでは、前にサービス接続からコピーしたIssuerを貼り付けます。

5. Subject 識別子には、前にサービス接続からコピーしたSubject 識別子貼り付けます。

6. フェデレーション資格情報の Name を指定し、完了したら Add を選択します。

   

サブスクリプションにロールの割り当てを追加する

接続を確認する前に、サービス プリンシパルにサブスクリプション レベルで Read アクセス権を付与する必要があります。

1. Azure portalに移動します。

2. Azure サービスで Subscriptions を選択し、サブスクリプションを見つけて選択します。

3. [アクセス制御 (IAM)] を選択してから、[追加]>[ロール割り当ての追加] の順に選択します。

4. ロール タブで リーダー を選択し、 次へを選択します。

5. ユーザー、グループ、またはサービス プリンシパルを選択し、 メンバーの選択を選択します。

6. 検索バーに、サービス プリンシパルの Object ID を貼り付けて選択し、 Select ボタンをクリックします。

7. [確認 + 割り当て] を選択し、設定を確認してから、もう一度 [確認 + 割り当て] を選択して選択を確認し、役割の割り当てを追加します。

8. ロールの割り当てが追加されたら。 サービス接続 (Azure DevOps 内) に戻り、最後に Verify と Save を選択してサービス接続を保存します。

Key Vault アクセス ポリシーを構成する

1. Azure ポータルに移動し前に作成したキー コンテナーを見つけて、Access ポリシーを選択します。

2. Createを選択し、Secret のアクセス許可でGetとListアクセス許可を追加し、次へを選択。

3. Principalで、サービス プリンシパルの Object IDを貼り付け、それを選択して Next を選択します。

4. [次へをもう一度選択し、設定を確認し、完了したら保存を選択します。

パイプラインでシークレットのクエリを実行して使用する

Azure Key Vault タスクを使うと、シークレットの値をフェッチし、パイプライン内の後続のタスクでそれを使用できます。 注意すべき点の 1 つは、次の例で示すように、シークレットを環境変数に明示的にマップする必要があるということです。

pool:
  vmImage: 'ubuntu-latest'

steps:
- task: AzureKeyVault@1
  inputs:
    azureSubscription: 'SERVICE_CONNECTION_NAME'
    KeyVaultName: 'KEY_VAULT_NAME'
    SecretsFilter: '*'

- bash: |
    echo "Secret Found! $MY_MAPPED_ENV_VAR"        
  env:
    MY_MAPPED_ENV_VAR: $(SECRET_NAME)

最後の bash コマンドからの出力は、次のようになります。

Secret Found! ***

注意

Azure Key Vault の複数のシークレットのクエリを実行する場合は、SecretsFilter 引数を使って、シークレット名のコンマ区切りのリストを渡します: 'secret1, secret2'。

関連するコンテンツ

• サービス接続の管理
• 変数の定義
• パイプライン成果物の公開