AzureKeyVault@2 - Tâche Azure Key Vault v2

Syntaxe

# Azure Key Vault v2
# Download Azure Key Vault secrets.
- task: AzureKeyVault@2
  inputs:
    azureSubscription: # string. Alias: ConnectedServiceName. Required. Azure subscription. 
    KeyVaultName: # string. Required. Key vault. 
    SecretsFilter: '*' # string. Required. Secrets filter. Default: *.
    #RunAsPreJob: false # boolean. Make secrets available to whole job. Default: false.

Entrées

Options de contrôle des tâches

Toutes les tâches ont des options de contrôle en plus de leurs entrées de tâche. Pour plus d’informations, consultez Options de contrôle et propriétés de tâche courantes.

Variables de sortie

Notes

Nouveautés de la version 2.0 : Ajout de la prise en charge de %3B, %5D dans les secrets.

Utilisez cette tâche pour télécharger des secrets, tels que des clés d’authentification, des clés de compte de stockage, des clés de chiffrement de données, . Fichiers PFX et mots de passe d’une instance Azure Key Vault. La tâche peut être utilisée pour extraire les valeurs les plus récentes de l’ensemble ou d’un sous-ensemble de secrets à partir du coffre et les définir en tant que variables qui peuvent être utilisées dans les tâches suivantes d’un pipeline. La tâche est basée sur un nœud et fonctionne avec des agents sur Linux, macOS et Windows.

J’obtiens une forbidden erreur sur les pipelines au moment d’obtenir des informations d’identification à partir d’Azure Key Vault

Cela se produit si les autorisations requises sont manquantes dans le coffre de clés Azure. Pour résoudre le problème, ajoutez une stratégie d’accès avec les autorisations appropriées.

Prérequis

La tâche présente les conditions préalables suivantes :

• Un abonnement Azure lié à Azure Pipelines ou Team Foundation Server à l’aide de la connexion au service Azure Resource Manager.
• Un coffre Azure Key Vault contenant les secrets.

Vous pouvez créer un coffre de clés :

• Dans le portail Azure :
• En utilisant Azure PowerShell
• À l’aide d’Azure CLI

Ajouter des secrets à un coffre de clés :

• À l’aide de l’applet de commande PowerShell Set-AzureKeyVaultSecret. Si le secret n’existe pas, cette applet de commande le crée. Si le secret existe déjà, cette applet de commande crée une nouvelle version de ce secret.

• À l’aide de l’interface Azure CLI Pour ajouter un secret à un coffre de clés, par exemple un secret nommé SQLPassword avec la valeur PlaceholderPassword, tapez :

  az keyvault secret set --vault-name 'ContosoKeyVault' --name 'SQLPassword' --value 'PlaceholderPassword'
  

Lorsque vous souhaitez accéder aux secrets :

• Vérifiez que la connexion au service Azure dispose d’au moins des autorisations Get et List sur le coffre. Vous pouvez définir ces autorisations dans le Portail Azure :

  • Ouvrez le panneau Paramètres du coffre, choisissez Stratégies d’accès, puis Ajouter.
  • Dans le panneau Ajouter une stratégie d’accès , choisissez Sélectionner un principal et sélectionnez le principal de service pour votre compte client.
  • Dans le panneau Ajouter une stratégie d’accès , choisissez Autorisations secrètes et vérifiez que Get et List sont cochés (cochés).
  • Choisissez OK pour enregistrer les modifications.

Si la valeur extraite du coffre est un certificat (par exemple, un fichier PFX), la variable de tâche contient le contenu du PFX au format chaîne. Vous pouvez utiliser le code PowerShell suivant pour récupérer le fichier PFX à partir de la variable de tâche :

$kvSecretBytes = [System.Convert]::FromBase64String("$(PfxSecret)")
$certCollection = New-Object System.Security.Cryptography.X509Certificates.X509Certificate2Collection
$certCollection.Import($kvSecretBytes,$null,[System.Security.Cryptography.X509Certificates.X509KeyStorageFlags]::Exportable)

Si le fichier de certificat est stocké localement sur l’ordinateur, il est recommandé de le chiffrer avec un mot de passe :

 #Get the file created
$password = 'your password'
$protectedCertificateBytes = $certCollection.Export([System.Security.Cryptography.X509Certificates.X509ContentType]::Pkcs12, $password)
$pfxPath = [Environment]::GetFolderPath("Desktop") + "\MyCert.pfx"
[System.IO.File]::WriteAllBytes($pfxPath, $protectedCertificateBytes)

Pour plus d’informations, consultez Prise en main des certificats Azure Key Vault.

Spécifications