Administrar grupos de variables

Azure DevOps Services | Azure DevOps Server 2022 | Azure DevOps Server 2019

En este artículo se explica cómo crear y usar grupos de variables en Azure Pipelines. Los grupos de variables almacenan valores y secretos que puede pasar a una canalización de YAML o que estén disponibles en varias canalizaciones en un proyecto.

Las variables secretas de los grupos de variables son recursos protegidos. Puede agregar combinaciones de aprobaciones, comprobaciones y permisos de canalización para limitar el acceso a variables secretas en un grupo de variables. El acceso a variables no secretas está limitado por aprobaciones, comprobaciones o permisos de canalización.

Los grupos de variables siguen el modelo de seguridad de la biblioteca para roles y permisos.

Creación de un grupo de variables

Puede crear grupos de variables para las ejecuciones de canalización en el proyecto.

az pipelines variable-group create --name home-office-config
                                   --variables app-location=home-office app-name=contoso
                                   --output yaml

authorized: false
description: null
id: 5
name: home-office-config
providerData: null
type: Vsts
variables:
  app-location:
    isSecret: null
    value: home-office
  app-name:
    isSecret: null
    value: contoso

Vínculo de secretos desde un almacén de claves de Azure

Puede crear un grupo de variables que se enlace a un almacén de claves de Azure existente y asignar los secretos del almacén de claves seleccionados al grupo de variables. Solo los nombres de secreto se asignan al grupo de variables, no a los valores secretos. Las ejecuciones de canalización que se vinculan al grupo de variables obtienen los valores secretos más recientes del almacén.

Cualquier cambio realizado en los secretos existentes en el almacén de claves está disponible automáticamente para todas las canalizaciones en las que se usa el grupo de variables. Sin embargo, si se agregan o eliminan secretos del almacén, los grupos de variables asociados no se actualizan automáticamente. Debe actualizar explícitamente los secretos para incluirlos en el grupo de variables.

Aunque Key Vault admite el almacenamiento y administración de claves criptográficas y certificados en Azure, la integración de grupos de variables de Azure Pipelines solo admite la asignación de secretos del almacén de claves. No se admiten claves criptográficas ni certificados.

Requisitos previos

• Un almacén de claves de Azure que contiene los secretos. Puede crear un almacén de claves mediante Azure Portal.
• Una conexión de servicio de Azure para el proyecto.

Creación del grupo de variables

1. En el proyecto de Azure DevOps, seleccione Canalizaciones>Biblioteca>+ Grupo de variables.
2. En la página Grupos de variables, escriba un nombre y una descripción opcional para el grupo de variables.
3. Habilite el conmutador Vincular secretos desde una instancia de Azure Key Vault como variables.
4. Seleccione el punto de conexión de la suscripción de Azure y el nombre del almacén de claves.
5. Habilite Azure DevOps para acceder al almacén de claves; para ello, seleccione Autorizar junto al nombre del almacén.
6. En la pantalla Elegir secretos, seleccione secretos específicos del almacén para asignarlos a este grupo de variables y, a continuación, seleccione Aceptar.
7. Seleccione Guardar para guardar el grupo de variables secretas.

Para obtener más información, consulte Usar secretos de Azure Key Vault.

Actualización de grupos de variables

az pipelines variable-group list --top 3 --query-order Asc --output table

ID    Name               Type    Number of Variables
----  -----------------  ------  ---------------------
1     myvariables        Vsts    2
2     newvariables       Vsts    4
3     new-app-variables  Vsts    3

az pipelines variable-group update --group-id 4
                                   --name my-new-variables
                                   --description "New home office variables"
                                   --output table

ID    Name              Description               Is Authorized  Number of Variables
----  ----------------  ------------------------- -------------  -------------------
4     my-new-variables  New home office variables false          2

az pipelines variable-group show --group-id 4 --output yaml

authorized: false
description: Variables for my new app
id: 4
name: my-new-variables
providerData: null
type: Vsts
variables:
  app-location:
    isSecret: null
    value: home-office
  app-name:
    isSecret: null
    value: contoso

Eliminar un grupo de variables

az pipelines variable-group delete --group-id 1 --yes

Administración de variables en grupos de variables

az pipelines variable-group variable list --group-id 4 --output table

Name            Is Secret    Value
--------------  -----------  -----------
app-location    False        home-office
app-name        False        contoso

az pipelines variable-group variable create --group-id 4
                                            --name requires-login
                                            --value true
                                            --output table

Name            Is Secret    Value
--------------  -----------  -------
requires-login  False        true

az pipelines variable-group variable update --group-id 4
                                            --name requires-login
                                            --value false
                                            --secret true
                                            --output yaml

requires-login:
  isSecret: true
  value: null

az pipelines variable-group variable delete --group-id 4 --name requires-login

Are you sure you want to delete this variable? (y/n): y
Deleted variable 'requires-login' successfully.

Uso de grupos de variables en canalizaciones

Puede usar grupos de variables en canalizaciones YAML o clásicas. Los cambios realizados en un grupo de variables están disponibles automáticamente para todas las definiciones o fases a las que se vincula el grupo de variables.

Uso de grupos de variables en canalizaciones YAML

Una vez que autorice una canalización YAML para que use un grupo de variables, puede usar el grupo de variables o las variables que contiene en la canalización.

Autorización de la canalización YAML para usar el grupo de variables

Si solo asigna un nombre al grupo de variables en canalizaciones YAML, cualquier persona que pueda insertar código en el repositorio podría extraer el contenido de los secretos en el grupo de variables. Por lo tanto, para usar un grupo de variables con canalizaciones YAML, debe autorizar la canalización para que use el grupo. Las canalizaciones clásicas pueden usar grupos de variables sin autorización independiente.

Uso del grupo de variables en la canalización YAML

Para usar una variable de un grupo de variables, agregue una referencia al nombre del grupo en el archivo de canalización YAML. Puede usar las variables del grupo de variables en el archivo.

variables:
- group: my-variable-group

Puede hacer referencia a varios grupos de variables en la misma canalización. Si varios grupos de variables incluyen la misma variable, el último grupo de variables que usa la variable en el archivo establece el valor de la variable. Para obtener más información sobre la prioridad de las variables, consulte Expansión de variables.

También puede hacer referencia a un grupo de variables en una plantilla. El siguiente archivo de plantilla variables.yml hace referencia al grupo de variables my-variable-group. El grupo de variables incluye una variable denominada myhello.

variables:
- group: my-variable-group

La canalización YAML hace referencia a la plantilla variables.yml y usa la variable $(myhello) del grupo de variables my-variable-group.

stages:
- stage: MyStage
  variables:
  - template: variables.yml
  jobs:
  - job: Test
    steps:
    - script: echo $(myhello)

Uso de variables de grupo de variables en canalizaciones YAML

Puede acceder a los valores de variable de un grupo de variables vinculados de la misma manera que accede a las variables que defina dentro de la canalización. Por ejemplo, para acceder al valor de una variable denominada customer en un grupo de variables vinculado a la canalización, puede usar $(customer) en un parámetro de tarea o un script.

Si usa variables independientes y grupos de variables en el archivo de canalización, use la sintaxis name-value de las variables independientes.

variables:
- group: my-variable-group
- name: my-standalone-variable
  value: 'my-standalone-variable-value'

Para hacer referencia a una variable de un grupo de variables, puede usar la sintaxis de macros o una expresión en tiempo de ejecución. En los ejemplos siguientes, el grupo my-variable-group tiene una variable llamada myhello.

Para usar una expresión en tiempo de ejecución:

variables:
- group: my-variable-group
- name: my-passed-variable
  value: $[variables.myhello]
- script: echo $(my-passed-variable)

Para usar la sintaxis de macro:

variables:
- group: my-variable-group

steps:
- script: echo $(myhello)

No se puede acceder a las variables secretas, incluidas las variables cifradas y las variables de Key Vault, directamente en los scripts. Debe pasar estas variables como argumentos a una tarea. Para obtener más información, consulte Variables secretas.

Uso de grupos de variables en canalizaciones clásicas

Las canalizaciones clásicas pueden usar grupos de variables sin autorización independiente. Para usar un grupo de variables:

1. Abra la canalización clásica.

2. Seleccione Variables>Grupos de variables y, a continuación, seleccione Vincular grupo de variables.

3. En una canalización de compilación, verá una lista de grupos disponibles. Vincule un grupo de variables a la canalización. Todas las variables del grupo están disponibles para su uso en la canalización.

   En una canalización de versión, también verá una lista desplegable de las fases en la canalización. Vincule el grupo de variables a la propia canalización o a una o más fases específicas de la canalización de versión. Si vincula a una o varias fases, las variables del grupo de variables se limitan a estas fases y no son accesibles en las demás fases de la misma versión.

   

Cuando se establece una variable con el mismo nombre en varios ámbitos, se aplica la prioridad siguiente, más alta primero:

1. Variable establecida en tiempo de cola
2. Variable establecida en la canalización
3. Conjunto de variables en el grupo de variables

Para obtener más información sobre la prioridad de las variables, consulte Expansión de variables.

Artículos relacionados

• Definición de variables
• Definición de variables personalizadas
• Usar variables secretas y no secretas en grupos de variables
• Uso de secretos de Azure Key Vault en Azure Pipelines.
• Agregar aprobaciones y comprobaciones