Łączenie grupy zmiennych z wpisami tajnymi w usłudze Azure Key Vault
W tym artykule pokazano, jak utworzyć grupę zmiennych łączącą się z wpisami tajnymi przechowywanymi w magazynie kluczy platformy Azure. Łącząc grupę zmiennych z magazynem kluczy, możesz zapewnić bezpieczne przechowywanie wpisów tajnych, a potoki zawsze mają dostęp do najnowszych wartości wpisów tajnych w czasie wykonywania.
Azure DevOps Services | Azure DevOps Server 2022 — Azure DevOps Server 2019
Możesz utworzyć grupę zmiennych, która łączy się z istniejącymi magazynami kluczy platformy Azure i mapuje wybrane wpisy tajne magazynu kluczy do grupy zmiennych. Tylko nazwy wpisów tajnych są mapowane na grupę zmiennych, a nie wartości wpisów tajnych. Po uruchomieniu potoków łączą się z grupą zmiennych w celu pobrania najnowszych wartości wpisów tajnych z magazynu w czasie wykonywania.
Wszelkie zmiany wprowadzone w istniejących wpisach tajnych w magazynie kluczy są automatycznie dostępne dla wszystkich potoków korzystających z grupy zmiennych. Jeśli jednak wpisy tajne są dodawane do magazynu lub usuwane z magazynu, skojarzone grupy zmiennych nie aktualizują się automatycznie. Należy jawnie zaktualizować wpisy tajne, aby uwzględnić je w grupie zmiennych.
Mimo że usługa Key Vault obsługuje przechowywanie kluczy kryptograficznych i certyfikatów oraz zarządzanie nimi na platformie Azure, integracja grup zmiennych usługi Azure Pipelines obsługuje tylko wpisy tajne magazynu kluczy mapowania. Klucze kryptograficzne i certyfikaty nie są obsługiwane.
Uwaga
Magazyny kluczy korzystające z kontroli dostępu opartej na rolach (RBAC) platformy Azure nie są obsługiwane.
Wymagania wstępne
| Produkt | Wymagania |
|---|---|
| Azure DevOps | — projekt usługi Azure DevOps. — połączenie usługi Azure Resource Manager dla projektu. Uprawnienia - : Aby używać połączeń do usługi: należy mieć co najmniej rolę użytkownika dla połączenia usługi . - Aby utworzyć grupę zmiennych: należy mieć co najmniej Creatoruprawnienia do biblioteki. |
| Błękit | — Konto platformy Azure z aktywną subskrypcją.
Utwórz konto bezpłatnie. - Uprawnienia: Aby utworzyć magazyn kluczy: mieć co najmniej rolę właściciela właściciela dla subskrypcji. |
Tworzenie magazynu kluczy
Utwórz magazyn Azure Key Vault.
- W witrynie Azure Portal wybierz polecenie Utwórz zasób.
- Wyszukaj i wybierz pozycję Key Vault, a następnie wybierz pozycję Utwórz.
- Wybierz subskrypcję.
- Wybierz istniejącą grupę zasobów lub utwórz nową.
- Wprowadź nazwę magazynu kluczy.
- Wybierz region.
- Wybierz kartę Dostęp i konfiguracja .
- Wybierz pozycję Zasady dostępu do magazynu.
- Wybierz swoje konto jako podmiot zabezpieczeń.
- Wybierz pozycję Przejrzyj i utwórz , a następnie pozycję Utwórz.
Tworzenie grupy zmiennych połączonej z magazynem kluczy
- W projekcie usługi Azure DevOps wybierz pozycję Biblioteka>i grupa zmiennych.
- Na stronie Grupy zmiennych wprowadź nazwę i opcjonalny opis grupy zmiennych.
- Włącz przełącznik Połącz wpisy tajne z magazynu kluczy platformy Azure jako przełącznik zmiennych.
- Wybierz połączenie z usługą i wybierz pozycję Autoryzuj.
- Wybierz nazwę magazynu kluczy i włącz usługę Azure DevOps, aby uzyskać dostęp do magazynu kluczy, wybierając pozycję Autoryzuj obok nazwy magazynu.
- Wybierz pozycję + Dodaj , a następnie na ekranie Wybieranie wpisów tajnych wybierz wpisy tajne z magazynu do mapowania do tej grupy zmiennych, a następnie wybierz przycisk OK.
- Wybierz pozycję Zapisz , aby zapisać grupę zmiennych tajnych.
Uwaga
Połączenie usługi musi mieć co najmniej uprawnienia Pobierz i Wyświetl w magazynie kluczy, które można autoryzować w poprzednich krokach. Te uprawnienia można również podać w witrynie Azure Portal, wykonując następujące kroki:
- Otwórz pozycję Ustawienia magazynu kluczy, a następnie wybierz pozycję >dostępu Przejdź do zasad dostępu.
- Na stronie Zasady dostępu, jeśli projekt usługi Azure Pipelines nie znajduje się na liście w obszarze Aplikacje z co najmniej uprawnieniami Pobierz i Wyświetl, wybierz pozycję Utwórz.
- W obszarze Uprawnienia wpisu tajnego wybierz pozycję Pobierz i wyświetl, a następnie wybierz pozycję Dalej.
- Wybierz podmiot zabezpieczeń, a następnie wybierz pozycję Dalej.
- Ponownie wybierz pozycję Dalej , przejrzyj ustawienia, a następnie wybierz pozycję Utwórz.
Aby uzyskać więcej informacji, zobacz Używanie wpisów tajnych usługi Azure Key Vault.