Gerenciar grupos de variáveis

Azure DevOps Services | Azure DevOps Server 2022 - Azure DevOps Server 2019

Este artigo explica como criar e usar grupos de variáveis no Azure Pipelines. Os grupos de variáveis armazenam valores e segredos que você pode passar para um pipeline YAML ou disponibilizar em vários pipelines em um projeto.

As variáveis secretas em grupos de variáveis são recursos protegidos. Você pode adicionar combinações de aprovações, verificações e permissões de pipeline para limitar o acesso a variáveis secretas em um grupo de variáveis. O acesso a variáveis não secretas não é limitado por aprovações, verificações ou permissões de pipeline.

Os grupos de variáveis seguem o modelo de segurança da biblioteca para funções e permissões.

Criar um grupo de variáveis

Você pode criar grupos de variáveis para as execuções de pipeline em seu projeto.

az pipelines variable-group create --name home-office-config
                                   --variables app-location=home-office app-name=contoso
                                   --output yaml

authorized: false
description: null
id: 5
name: home-office-config
providerData: null
type: Vsts
variables:
  app-location:
    isSecret: null
    value: home-office
  app-name:
    isSecret: null
    value: contoso

Vincular segredos de um cofre de chaves do Azure

Você pode criar um grupo de variáveis que seja vinculado a um Azure Key Vault e mapeie os segredos do Key Vault selecionado para o grupo de variáveis. Somente os nomes de segredo são mapeados para o grupo de variáveis, não os valores de segredo. As execuções de pipeline vinculadas ao grupo de variáveis buscam os valores secretos mais recentes do cofre.

Todas as alterações feitas em segredos existentes no cofre de chaves ficam automaticamente disponíveis para todos os pipelines que usam o grupo de variáveis. No entanto, se os segredos forem adicionados ou excluídos do cofre, os grupos de variáveis associados não são atualizados automaticamente. Você deve atualizar explicitamente os segredos a serem incluídos no grupo de variáveis.

Embora o Key Vault dê suporte ao armazenamento e ao gerenciamento de chaves criptográficas e de certificados no Azure, a integração de grupo de variáveis do Azure Pipelines só dá suporte ao mapeamento de segredos de cofre de chaves. Não há suporte para chaves criptográficas e certificados.

Pré-requisitos

• Um Azure Key Vault que contém seus segredos. Você também pode criar um cofre de chaves usando o portal do Azure.
• Uma conexão de serviço do Azure para seu projeto.

Criar o grupo de variáveis

1. No projeto do Azure DevOps, selecione Pipelines>Biblioteca>+ Grupo de variáveis.
2. Na página Grupos de variáveis, insira um nome e uma descrição opcional para o grupo de variáveis.
3. Habilite a alternância Vincular segredos de um Azure Key Vault como variáveis.
4. Selecione o ponto de extremidade da assinatura do Azure e o nome do cofre de chaves.
5. Habilite o Azure DevOps para acessar o cofre de chaves selecionando Autorizar ao lado do nome do cofre.
6. Na tela Escolher segredos, selecione segredos específicos do cofre para mapeamento para esse grupo de variáveis e selecione OK.
7. Selecione Salvar para salvar o grupo de variáveis secretas.

Para obter mais informações, confira Usar segredos do Azure Key Vault.

Atualizar os grupos de variáveis

az pipelines variable-group list --top 3 --query-order Asc --output table

ID    Name               Type    Number of Variables
----  -----------------  ------  ---------------------
1     myvariables        Vsts    2
2     newvariables       Vsts    4
3     new-app-variables  Vsts    3

az pipelines variable-group update --group-id 4
                                   --name my-new-variables
                                   --description "New home office variables"
                                   --output table

ID    Name              Description               Is Authorized  Number of Variables
----  ----------------  ------------------------- -------------  -------------------
4     my-new-variables  New home office variables false          2

az pipelines variable-group show --group-id 4 --output yaml

authorized: false
description: Variables for my new app
id: 4
name: my-new-variables
providerData: null
type: Vsts
variables:
  app-location:
    isSecret: null
    value: home-office
  app-name:
    isSecret: null
    value: contoso

Excluir um grupo de variáveis

az pipelines variable-group delete --group-id 1 --yes

Gerenciar variáveis em um grupo de variáveis

az pipelines variable-group variable list --group-id 4 --output table

Name            Is Secret    Value
--------------  -----------  -----------
app-location    False        home-office
app-name        False        contoso

az pipelines variable-group variable create --group-id 4
                                            --name requires-login
                                            --value true
                                            --output table

Name            Is Secret    Value
--------------  -----------  -------
requires-login  False        true

az pipelines variable-group variable update --group-id 4
                                            --name requires-login
                                            --value false
                                            --secret true
                                            --output yaml

requires-login:
  isSecret: true
  value: null

az pipelines variable-group variable delete --group-id 4 --name requires-login

Are you sure you want to delete this variable? (y/n): y
Deleted variable 'requires-login' successfully.

Usar grupos de variáveis em pipelines

Você pode usar grupos de variáveis em pipelines YAML ou Clássicos. As alterações feitas em um grupo de variáveis estão automaticamente disponíveis para todas as definições ou estágios às quais o grupo de variáveis está vinculado.

Usar grupos de variáveis em pipelines YAML

Depois de autorizar um pipeline YAML a usar um grupo de variáveis, você poderá usar o grupo de variáveis ou as variáveis dentro dele no pipeline.

Autorizar o pipeline YAML a usar o grupo de variáveis

Se você nomear apenas o grupo de variáveis nos pipelines YAML, qualquer pessoa que possa enviar código por push para o repositório poderá extrair o conteúdo dos segredos no grupo de variáveis. Portanto, para usar um grupo de variáveis com pipelines YAML, você deverá autorizar o pipeline a usar o grupo. Os pipelines Clássicos podem usar grupos de variáveis sem autorização separada.

Usar o grupo de variáveis no pipeline YAML

Para usar uma variável de um grupo de variáveis, adicione uma referência ao nome do grupo em seu arquivo de pipeline YAML. Em seguida, você poderá usar as variáveis do grupo de variáveis em seu arquivo.

variables:
- group: my-variable-group

Você pode fazer referência a vários grupos de variáveis no mesmo pipeline. Se vários grupos de variáveis incluírem a mesma variável, o último grupo de variáveis que usa a variável no arquivo definirá o valor da variável. Para obter mais informações sobre precedência de variáveis, consulte Expansão de variáveis.

Você também pode fazer referência a um grupo de variáveis em um modelo. O arquivo de modelo variables.yml a seguir faz referência ao grupo de variáveis my-variable-group. O grupo de variáveis inclui uma variável chamada myhello.

variables:
- group: my-variable-group

O pipeline YAML faz referência ao modelo variables.yml e usa a variável $(myhello) do grupo de variáveis my-variable-group.

stages:
- stage: MyStage
  variables:
  - template: variables.yml
  jobs:
  - job: Test
    steps:
    - script: echo $(myhello)

Usar variáveis de grupo de variáveis em pipelines YAML

Você acessa os valores de variável em um grupo de variáveis vinculado da mesma maneira que você acessa as variáveis que define dentro do próprio pipeline. Por exemplo, para acessar o valor de uma variável chamada customer em um grupo de variáveis vinculado ao pipeline, você pode usar $(customer) em um parâmetro de tarefa ou um script.

Se você usar variáveis autônomas e grupos de variáveis no arquivo de pipeline, use a sintaxe name-value para as variáveis autônomas.

variables:
- group: my-variable-group
- name: my-standalone-variable
  value: 'my-standalone-variable-value'

Para fazer referência a uma variável em um grupo de variáveis, você poderá usar a sintaxe de macro ou uma expressão de runtime. Nos exemplos a seguir, o grupo my-variable-group tem uma variável chamada myhello.

Para usar uma expressão de runtime:

variables:
- group: my-variable-group
- name: my-passed-variable
  value: $[variables.myhello]
- script: echo $(my-passed-variable)

Para usar a sintaxe de macro:

variables:
- group: my-variable-group

steps:
- script: echo $(myhello)

Você não pode acessar variáveis secretas, incluindo variáveis criptografadas e variáveis do cofre de chaves, diretamente em scripts. Você deve passar essas variáveis como argumentos para uma tarefa. Para obter mais informações, consulte Variáveis secretas.

Usar grupos de variáveis em pipelines Clássicos

Os pipelines Clássicos podem usar grupos de variáveis sem autorização separada. Para usar um grupo de variáveis:

1. Abrir seu pipeline Clássico.

2. Selecione Variáveis>Grupos de variáveis e, em seguida, selecione Vincular grupo de variáveis.

3. Em um pipeline de build, você verá uma lista de grupos disponíveis. Vincule um grupo de variáveis ao pipeline. Todas as variáveis no grupo estão disponíveis para uso no pipeline.

   Em um pipeline de lançamento, você também vê uma lista suspensa de estágios no pipeline. Vincule o grupo de variáveis ao pipeline propriamente dito ou a um ou mais estágios específicos do pipeline de lançamento. Se você vincular a uma ou mais estágios, as variáveis do grupo de variáveis serão definidas como escopo para essas estágios e não estarão acessíveis nos outros estágios do mesmo lançamento.

   

Quando você define uma variável com o mesmo nome em vários escopos, a precedência a seguir é usada, a precedência mais alta primeiro:

1. Conjunto de variáveis na hora da fila
2. Variável definida no pipeline
3. Variável definida no grupo de variáveis

Para obter mais informações sobre precedência de variáveis, consulte Expansão de variáveis.

Artigos relacionados

• Definir variáveis
• Definir variáveis personalizadas
• Usar variáveis secretas e não secretas em grupos de variáveis
• Usar os segredos do Azure Key Vault no Azure Pipelines
• Adicionar aprovações e verificações