Использование шаблонов для безопасности

Azure DevOps Services | Azure DevOps Server 2022 | Azure DevOps Server 2020

В этой статье описывается, как шаблоны могут упростить безопасность для Azure Pipelines. Шаблоны могут определять внешнюю структуру конвейера и предотвращать проникновение вредоносного кода. Шаблоны также могут автоматически включать шаги для выполнения таких задач, как сканирование учетных данных. Если несколько конвейеров в команде или организации используют одну и ту же структуру, рекомендуется использовать шаблоны.

Проверка защищенных ресурсов формирует базовую платформу безопасности для Azure Pipelines. Эти проверки применяются независимо от структуры конвейера, этапов и заданий. Вы можете использовать шаблоны для применения этих проверок.

Включает и расширяет шаблоны

Azure Pipelines предоставляет шаблоны и расширяет шаблоны.

• Включает шаблоны включают код шаблона непосредственно в внешний файл, который ссылается на него, как #include и в C++. В следующем примере конвейер вставляет шаблон include-npm-steps.yml в steps раздел.

    steps:
    - template: templates/include-npm-steps.yml 
  

• Расширяет шаблоны определяют внешнюю структуру конвейера и предлагают определенные точки для целевых настроек. В контексте C++ extends шаблоны похожи на наследование.

При использовании extends шаблонов можно также использовать includes как в шаблоне, так и в последнем конвейере для выполнения общих частей конфигурации. Полный справочник см. в справочнике по использованию шаблона.

Расширение шаблонов

Для наиболее безопасных конвейеров начните с расширения шаблонов. Эти шаблоны определяют внешнюю структуру конвейера и препятствуют инфильтрации конвейера вредоносным кодом.

Например, следующий файл шаблона называется template.yml.

parameters:
- name: usersteps
  type: stepList
  default: []
steps:
- ${{ each step in parameters.usersteps }}:
  - ${{ step }}

Следующий конвейер расширяет шаблон template.yml .

# azure-pipelines.yml
resources:
  repositories:
  - repository: templates
    type: git
    name: MyProject/MyTemplates
    ref: refs/tags/v1

extends:
  template: template.yml@templates
  parameters:
    usersteps:
    - script: echo This is my first step
    - script: echo This is my second step

Функции безопасности конвейера YAML

Синтаксис конвейера YAML включает несколько встроенных защит. Расширение шаблона может применять их использование. Чтобы повысить безопасность конвейера, можно реализовать любое из следующих ограничений.

Целевые объекты шага

Вы можете ограничить выполнение определенных шагов в контейнере, а не на узле. Действия в контейнерах не имеют доступа к узлу агента, предотвращая изменение конфигурации агента или выход вредоносного кода для последующего выполнения.

Например, рекомендуется ограничить доступ к сети. Без открытого сетевого доступа действия пользователя не могут извлекать пакеты из несанкционированных источников или отправлять код и секреты во внешние сетевые расположения.

В следующем примере конвейер выполняет шаги на узле агента перед выполнением шагов внутри контейнера.

resources:
  containers:
  - container: builder
    image: mysecurebuildcontainer:latest
steps:
- script: echo This step runs on the agent host, and it could use Docker commands to tear down or limit the container's network
- script: echo This step runs inside the builder container
  target: builder

- task: PublishBuildArtifacts@1
  inputs:
    artifactName: myartifacts
  target:
    commands: restricted

- task: PowerShell@2
  target:
    commands: restricted
    settableVariables:
    - expectedVar
    - ok*
  inputs:
    targetType: 'inline'
    script: |
      Write-Host "##vso[task.setvariable variable=BadVar]myValue"

jobs:
- job: buildNormal
  steps:
  - script: echo Building the normal, unsensitive part
- ${{ if eq(variables['Build.SourceBranchName'], 'refs/heads/main') }}:
  - job: buildMainOnly
    steps:
    - script: echo Building the restricted part that only builds for main branch

# template.yml
parameters:
- name: usersteps
  type: stepList
  default: []
steps:
- ${{ each step in parameters.usersteps }}:
  - ${{ if not(or(startsWith(step.task, 'Bash'),startsWith(step.task, 'CmdLine'),startsWith(step.task, 'PowerShell'))) }}:  
    - ${{ step }}
  # The following lines replace tasks like Bash@3, CmdLine@2, PowerShell@2
  - ${{ else }}:  
    - ${{ each pair in step }}:
        ${{ if eq(pair.key, 'inputs') }}:
          inputs:
            ${{ each attribute in pair.value }}:
              ${{ if eq(attribute.key, 'script') }}:
                script: echo "Script removed by template"
              ${{ else }}:
                ${{ attribute.key }}: ${{ attribute.value }}
        ${{ elseif ne(pair.key, 'displayName') }}:
          ${{ pair.key }}: ${{ pair.value }}

          displayName: 'Disabled by template: ${{ step.displayName }}'

# azure-pipelines.yml
extends:
  template: template.yml
  parameters:
    usersteps:
    - task: MyTask@1
    - script: echo This step will be stripped out and not run!
    - bash: echo This step will be stripped out and not run!
    - powershell: echo "This step will be stripped out and not run!"
    - pwsh: echo "This step will be stripped out and not run!"
    - script: echo This step will be stripped out and not run!
    - task: CmdLine@2
      displayName: Test - Will be stripped out
      inputs:
        script: echo This step will be stripped out and not run!
    - task: MyOtherTask@2

Типобезопасные параметры

Перед запуском конвейера шаблоны и их параметры преобразуются в константы. Параметры шаблона могут повысить безопасность типов для входных параметров.

В следующем примере шаблона параметры ограничивают доступные параметры пула конвейеров, предоставляя перечисление определенных вариантов, а не разрешать строки свободной формы.

# template.yml
parameters:
- name: userpool
  type: string
  default: Azure Pipelines
  values:
  - Azure Pipelines
  - private-pool-1
  - private-pool-2

pool: ${{ parameters.userpool }}
steps:
- script: # ... removed for clarity

Когда конвейер расширяет шаблон, он должен указать один из доступных вариантов пула.

# azure-pipelines.yml
extends:
  template: template.yml
  parameters:
    userpool: private-pool-1

parameters:
  jobs: []

jobs:
- ${{ each job in parameters.jobs }}: 
  - ${{ each pair in job }}:  
      ${{ if ne(pair.key, 'steps') }}:
        ${{ pair.key }}: ${{ pair.value }}
    steps:                            
    - task: CredScan@1 
    - ${{ job.steps }} 
    - task: PublishMyTelemetry@1 
      condition: always()

Принудительное применение шаблона

Шаблоны являются ценным механизмом безопасности, но их эффективность зависит от применения. Ключевые контрольные точки для применения использования шаблона защищены ресурсами. Утверждения и проверки пула агентов или других защищенных ресурсов, таких как репозитории. Пример см. в разделе "Добавление проверки ресурса репозитория".

Обязательные шаблоны

Чтобы применить использование определенного шаблона, настройте необходимую проверку шаблона для ресурса. Эта проверка применяется только в том случае, если конвейер расширяется из шаблона.

При просмотре задания конвейера можно отслеживать состояние проверки. Если конвейер не расширяется из требуемого шаблона, проверка завершается ошибкой. Выполнение останавливается и уведомляет вас о сбое проверки.

При использовании обязательного шаблона проверка проходит.

На любой конвейер, расширяющий его, необходимо ссылаться на следующий params.yml шаблон.

# params.yml
parameters:
- name: yesNo 
  type: boolean
  default: false
- name: image
  displayName: Pool Image
  type: string
  default: ubuntu-latest
  values:
  - windows-latest
  - ubuntu-latest
  - macOS-latest

steps:
- script: echo ${{ parameters.yesNo }}
- script: echo ${{ parameters.image }}

В следующем примере конвейер расширяет шаблон params.yml и требует его утверждения. Чтобы продемонстрировать сбой конвейера, закомментируйте ссылку на params.yml.

# azure-pipeline.yml

resources:
 containers:
     - container: my-container
       endpoint: my-service-connection
       image: mycontainerimages

extends:
    template: params.yml
    parameters:
        yesNo: true
        image: 'windows-latest'

Связанный контент

• Справочник по использованию шаблона
• Безопасные переменные и параметры в конвейерах
• Безопасность ресурсов
• Утверждения и проверки