tarefa AzureKeyVault@2 – Azure Key Vault v2

Syntax

# Azure Key Vault v2
# Download Azure Key Vault secrets.
- task: AzureKeyVault@2
  inputs:
    azureSubscription: # string. Alias: ConnectedServiceName. Required. Azure subscription. 
    KeyVaultName: # string. Required. Key vault. 
    SecretsFilter: '*' # string. Required. Secrets filter. Default: *.
    #RunAsPreJob: false # boolean. Make secrets available to whole job. Default: false.

Entradas

Opções de controle de tarefa

Todas as tarefas têm opções de controle além de suas entradas de tarefa. Para obter mais informações, consulte Opções de controle e propriedades comuns da tarefa.

Variáveis de saída

Comentários

Novidades na versão 2.0: adição de suporte para %3B, %5D em segredos.

Use esta tarefa para baixar segredos, como chaves de autenticação, chaves de conta de armazenamento, chaves de criptografia de dados, . Arquivos PFX e senhas de uma instância de Key Vault do Azure. A tarefa pode ser usada para buscar os valores mais recentes de todos ou um subconjunto de segredos do cofre e defini-los como variáveis que podem ser usadas em tarefas subsequentes de um pipeline. A tarefa é baseada em nó e funciona com agentes no Linux, macOS e Windows.

Recebo um forbidden erro em pipelines no ponto de obter credenciais do Azure Key Vault

Isso ocorrerá se as permissões necessárias estiverem ausentes no cofre de chaves do Azure. Para resolver o problema, adicione uma política de acesso com as permissões corretas.

Pré-requisitos

A tarefa tem os seguintes pré-requisitos:

• Uma assinatura do Azure vinculada ao Azure Pipelines ou ao Team Foundation Server usando a conexão de serviço do Azure Resource Manager.
• Um Azure Key Vault contendo os segredos.

Você pode criar um cofre de chaves:

• No Portal do Azure
• Usando Azure PowerShell
• Usando a CLI do Azure

Adicione segredos a um cofre de chaves:

• Usando o cmdlet do PowerShell Set-AzureKeyVaultSecret. Se o segredo não existir, esse cmdlet o criará. Se o segredo já existir, esse cmdlet criará uma nova versão desse segredo.

• Usando a CLI do Azure. Para adicionar um segredo a um cofre de chaves, por exemplo, um segredo chamado SQLPassword com o valor PlaceholderPassword, digite:

  az keyvault secret set --vault-name 'ContosoKeyVault' --name 'SQLPassword' --value 'PlaceholderPassword'
  

Quando você quiser acessar segredos:

• Verifique se a conexão de serviço do Azure tem pelo menos permissões Obter e Listar no cofre. Você pode definir essas permissões no portal do Azure:

  • Abra a folha Configurações do cofre, escolha Políticas de acesso e , em seguida, Adicionar novo.
  • Na folha Adicionar política de acesso , escolha Selecionar entidade de segurança e selecione a entidade de serviço para sua conta cliente.
  • Na folha Adicionar política de acesso , escolha Permissões secretas e verifique se Obter e Lista estão marcadas (marcadas).
  • Escolha OK para salvar as alterações.

Se o valor buscado do cofre for um certificado (por exemplo, um arquivo PFX), a variável de tarefa conterá o conteúdo do PFX no formato de cadeia de caracteres. Você pode usar o seguinte código do PowerShell para recuperar o arquivo PFX da variável de tarefa:

$kvSecretBytes = [System.Convert]::FromBase64String("$(PfxSecret)")
$certCollection = New-Object System.Security.Cryptography.X509Certificates.X509Certificate2Collection
$certCollection.Import($kvSecretBytes,$null,[System.Security.Cryptography.X509Certificates.X509KeyStorageFlags]::Exportable)

Se o arquivo de certificado for armazenado localmente no computador, é uma boa prática criptografá-lo com uma senha:

 #Get the file created
$password = 'your password'
$protectedCertificateBytes = $certCollection.Export([System.Security.Cryptography.X509Certificates.X509ContentType]::Pkcs12, $password)
$pfxPath = [Environment]::GetFolderPath("Desktop") + "\MyCert.pfx"
[System.IO.File]::WriteAllBytes($pfxPath, $protectedCertificateBytes)

Para obter mais informações, consulte Introdução aos certificados de Key Vault do Azure.

Requisitos