AzureKeyVault@2 – úloha Azure Key Vault v2

Syntax

# Azure Key Vault v2
# Download Azure Key Vault secrets.
- task: AzureKeyVault@2
  inputs:
    azureSubscription: # string. Alias: ConnectedServiceName. Required. Azure subscription. 
    KeyVaultName: # string. Required. Key vault. 
    SecretsFilter: '*' # string. Required. Secrets filter. Default: *.
    #RunAsPreJob: false # boolean. Make secrets available to whole job. Default: false.

Vstupy

Možnosti řízení úkolů

Všechny úkoly mají kromě vstupů úkolů také možnosti řízení. Další informace najdete v tématu Možnosti ovládacího prvku a běžné vlastnosti úlohy.

Výstupní proměnné

Poznámky

Novinky ve verzi 2.0: Byla přidána podpora pro %3B a %5D v tajných kódech.

Tato úloha slouží ke stažení tajných kódů, jako jsou ověřovací klíče, klíče účtu úložiště, šifrovací klíče dat a . Soubory PFX a hesla z instance Azure Key Vault. Úlohu je možné použít k načtení nejnovějších hodnot všech tajných kódů nebo podmnožiny tajných kódů z trezoru a jejich nastavení jako proměnných, které lze použít v následných úlohách kanálu. Úloha je založená na uzlu a pracuje s agenty v Linuxu, macOS a Windows.

Při získávání přihlašovacích údajů z Azure Key Vault se u kanálů zobrazuje forbidden chyba

K tomu dochází v případě, že ve službě Azure Key Vault chybí požadovaná oprávnění. Pokud chcete tento problém vyřešit, přidejte zásadu přístupu se správnými oprávněními.

Požadavky

Úkol má následující požadavky:

• Předplatné Azure propojené se službou Azure Pipelines nebo Team Foundation Server pomocí připojení služby Azure Resource Manager.
• Azure Key Vault obsahující tajné kódy.

Trezor klíčů můžete vytvořit:

• V Azure Portal
• Pomocí Azure PowerShell
• Pomocí Azure CLI

Přidání tajných kódů do trezoru klíčů:

• Pomocí rutiny PowerShellu Set-AzureKeyVaultSecret. Pokud tajný klíč neexistuje, tato rutina ho vytvoří. Pokud tajný klíč již existuje, tato rutina vytvoří novou verzi tohoto tajného klíče.

• Pomocí Azure CLI. Pokud chcete do trezoru klíčů přidat tajný kód, například tajný kód s názvem SQLPassword s hodnotou PlaceholderPassword, zadejte:

  az keyvault secret set --vault-name 'ContosoKeyVault' --name 'SQLPassword' --value 'PlaceholderPassword'
  

Pokud chcete získat přístup k tajným kódům:

• Ujistěte se, že připojení služby Azure má k trezoru alespoň oprávnění Získat a Zobrazit seznam. Tato oprávnění můžete nastavit v Azure Portal:

  • Otevřete okno Nastavení trezoru, zvolte Zásady přístupu a pak Přidat nový.
  • V okně Přidat zásadu přístupu zvolte Vybrat objekt zabezpečení a vyberte instanční objekt pro váš klientský účet.
  • V okně Přidat zásadu přístupu zvolte Oprávnění k tajným kódům a ujistěte se , že jsou zaškrtnuté možnosti Get a List .
  • Zvolte OK a uložte změny.

Pokud je hodnota načtená z trezoru certifikát (například soubor PFX), bude proměnná úkolu obsahovat obsah PFX v řetězcovém formátu. K načtení souboru PFX z proměnné úlohy můžete použít následující kód PowerShellu:

$kvSecretBytes = [System.Convert]::FromBase64String("$(PfxSecret)")
$certCollection = New-Object System.Security.Cryptography.X509Certificates.X509Certificate2Collection
$certCollection.Import($kvSecretBytes,$null,[System.Security.Cryptography.X509Certificates.X509KeyStorageFlags]::Exportable)

Pokud bude soubor certifikátu uložen místně na počítači, je vhodné ho zašifrovat heslem:

 #Get the file created
$password = 'your password'
$protectedCertificateBytes = $certCollection.Export([System.Security.Cryptography.X509Certificates.X509ContentType]::Pkcs12, $password)
$pfxPath = [Environment]::GetFolderPath("Desktop") + "\MyCert.pfx"
[System.IO.File]::WriteAllBytes($pfxPath, $protectedCertificateBytes)

Další informace najdete v tématu Začínáme s certifikáty Azure Key Vault.

Požadavky