パイプラインで変数とパラメーターを安全に使用する方法

Azure DevOps Services | Azure DevOps Server 2022 | Azure DevOps Server 2020

この記事では、変数とパラメーターを安全に使用してパイプライン ユーザーからの入力を収集する方法について説明します。 変数とパラメーターの使用の詳細については、次を参照してください。

• 変数の定義
• シークレット変数を設定する
• 定義済み変数の使用
• ランタイム パラメーターの使用
• テンプレートの種類と使用

シークレット変数には注意が必要です。 シークレット変数の設定が推奨される箇所は、UI、変数グループ、Azure Key Vault の変数グループです。 詳しくは、「シークレット変数を設定する」をご覧ください。

変数

変数は、ユーザーから情報を前もって収集するのに便利な方法です。 変数を使用して、パイプライン内のステップからステップにデータを渡すこともできます。

ただし、変数は慎重に使用してください。 新しく作成された変数は、YAML で定義されているか、スクリプトによって書き込まれるかにかかわらず、既定で読み取り/書き込み可能です。 ダウンストリーム ステップでは、予期しない方法で変数の値を変更できます。

たとえば、スクリプトは次のように読み取ります。

msbuild.exe myproj.proj -property:Configuration=$(MyConfig)

前の手順では、MyConfig を Debug & deltree /y c: に設定できます。 この例ではビルド エージェントの内容のみを削除しますが、この設定がいかに遥かに危険なものになるかは想像がつくと思います。

変数を読み取り専用にすることができます。 Build.SourcesDirectory、タスク出力変数、キュー時間変数などのシステム変数は、常に読み取り専用です。 YAML で作成された変数、またはスクリプトによって実行時に作成される変数は、読み取り専用として指定できます。 スクリプトまたはタスクが新しい変数を作成すると、そのログ コマンドで isReadonly=true フラグを渡して、変数を読み取り専用にすることができます。

YAML では、特定のキーを使用して読み取り専用変数を指定できます。

variables:
- name: myReadOnlyVar
  value: myValue
  readonly: true

キュー時間変数

パイプライン UI エディターで変数を定義する場合は、パイプラインの実行時にユーザーがその値をオーバーライドすることを選択できます。 このような変数をキュー時間変数と呼びます。 キュー時間変数は、常にパイプライン UI エディターで定義されます。

キュー時間変数は、パイプラインを手動で実行するとエンド ユーザーに公開され、値を変更できます。

{
  "$id": "1",
  "innerException": null,
  "message": "You can't set the following variables (my_variable). If you want to be able to set these variables, then edit the pipeline and select Settable at queue time on the variables tab of the pipeline editor.",
  "typeName": "Microsoft.Azure.Pipelines.WebApi.PipelineValidationException, Microsoft.Azure.Pipelines.WebApi",
  "typeKey": "PipelineValidationException",
  "errorCode": 0,
  "eventId": 3000
}

パラメーター

変数とは異なり、パイプラインがその実行中にパイプライン パラメーターを変更することはできません。 パラメーターには、number や string などのデータ型があり、値のサブセットに制限できます。 パラメーターの制限は、パイプラインのうちユーザーが構成可能な部分が制約付きリストからのみ値を受け取る必要がある場合に便利です。 セットアップにより、パイプラインが任意のデータを取得しないようにします。

シェル タスク引数パラメーターの検証を有効にする

パイプラインは、パイプラインで実行されるタスクを参照できます。 Azure DevOps に含まれるいくつかのタスクには、タスクのオプションをさらに指定できる引数パラメーターがあります。

[シェル タスクの引数の検証を有効にする] の設定が有効になっている場合、引数パラメーターは、シェルによって正しく実行されない可能性のある文字がないかどうか、引数パラメーターが確認されます。 文字の例としては、セミコロン、引用符、かっこなどがあります。

[キュー時に設定できる変数を制限する] オプションと同様に、シェル タスク引数パラメーターの検証を有効にするは、組織レベルの [設定]>[パイプライン]>[設定] またはプロジェクト レベルの [設定]>[パイプライン]>[設定]で構成できます。

有効にすると、検証の問題が検出され、次のようなエラー メッセージがログに記録されます。 Detected characters in arguments that may not be executed correctly by the shell. Please escape special characters using backtick (`).

この問題を解決するには、エラー メッセージに示されているように特殊文字をエスケープして引数を調整します。

[シェル タスク引数パラメーターの検証を有効にする] が有効になっている場合、検証は次のタスクの引数パラメーターに適用されます。

• PowerShell
• BatchScript
• Bash
• SSH
• AzureFileCopy
• WindowsMachineFileCopy

次のステップ

入力をセキュリティで保護したら、共有インフラストラクチャをセキュリティで保護する必要もあります。