Lier un groupe de variables à des secrets dans Azure Key Vault
Cet article vous montre comment créer un groupe de variables qui lie des secrets stockés dans un coffre de clés Azure. En liant le groupe de variables au coffre de clés, vous pouvez vous assurer que vos secrets sont stockés en toute sécurité et que vos pipelines ont toujours accès aux dernières valeurs secrètes au moment de l’exécution.
Azure DevOps Services | Azure DevOps Server 2022 | Azure DevOps Server 2019
Vous pouvez créer un groupe de variables qui lie des coffres de clés Azure existants et mappe les secrets de coffre de clés sélectionnés au groupe de variables. Seuls les noms des secrets sont mappés vers le groupe de variables, pas les valeurs des secrets. Quand les pipelines s’exécutent, ils sont liés au groupe de variables pour extraire les dernières valeurs secrètes du coffre au moment de l’exécution.
Toute modification apportée aux secrets existants dans le coffre-fort est automatiquement mise à la disposition de tous les pipelines qui utilisent le groupe de variables. Cependant, si des secrets sont ajoutés ou supprimés du coffre-fort, les groupes de variables associés ne sont pas automatiquement mis à jour. Vous devez explicitement mettre à jour les secrets à inclure dans le groupe de variables.
Bien que Key Vault prenne en charge le stockage et la gestion des clés cryptographiques et des certifications dans Azure, l'intégration des groupes de variables Azure Pipelines ne prend en charge que le mappage des secrets de coffre-fort de clés. Les clés de chiffrement et les certificats ne sont pas pris en charge.
Remarque
Les coffres-forts de clés qui utilisent le contrôle d'accès basé sur les rôles d'Azure (Azure RBAC) ne sont pas pris en charge.
Prérequis
- Compte Azure avec un abonnement actif. Créez un compte gratuitement.
- Une organisation Azure DevOps. Inscrivez-vous gratuitement ou un serveur Azure DevOps.
- Un projet DevOps. Créer un projet si vous n’en avez pas encore un.
- Une connexion de service Azure Resource Manager pour votre projet.
Création d’un coffre de clés
Créez un coffre de clés Azure.
- Dans le portail Azure, sélectionnez Créer une ressource.
- Recherchez et sélectionnez Key Vault, puis sélectionnez Créer.
- Sélectionnez votre abonnement.
- Sélectionnez un groupe de ressources existant ou créez-en un.
- Entrez un nom pour le coffre de clés.
- Sélectionnez une région.
- Sélectionnez l’onglet Accès et configuration .
- Sélectionnez Stratégie d'accès au coffre.
- Sélectionnez votre compte comme principal.
- Sélectionnez Vérifier + créer, puis Créer.
Créer le groupe de variables lié au coffre de clés
- Dans votre projet Azure DevOps, sélectionnez Pipelines>Bibliothèque>+ Groupe de variables.
- Sur la page Groupes de variables, entrez un nom et une description facultative pour le groupe de variables.
- Activez la bascule Lier les secrets d'un coffre-fort de clés Azure en tant que variables.
- Sélectionnez votre connexion de service, puis sélectionnez Autoriser.
- Sélectionnez le nom de votre coffre de clés et activez Azure DevOps pour accéder au coffre de clés en sélectionnant Autoriser en regard du nom du coffre.
- Sélectionnez + Ajouter et dans l’écran Choisir des secrets , sélectionnez les secrets de votre coffre pour le mappage à ce groupe de variables, puis sélectionnez OK.
- Sélectionnez Enregistrer pour enregistrer le groupe de variables secrètes.
Remarque
Votre connexion de service doit disposer au moins d’autorisations Get et List sur le coffre de clés, que vous pouvez autoriser dans les étapes précédentes. Vous pouvez également fournir ces permissions à partir du portail Azure en suivant les étapes suivantes :
- Ouvrez Paramètres pour le coffre-fort de clés, puis sélectionnez Configuration de l'accès>Voir les stratégies d'accès.
- Sur la page des stratégies d'accès, si votre projet Azure Pipelines n'est pas répertorié sous Applications avec au moins les permissions Obtenir et Lister, sélectionnez Créer.
- Sous Permissions secrètes, sélectionnez Obtenir et Lister, puis sélectionnez Suivant.
- Sélectionnez votre principal, puis sélectionnez Suivant.
- Sélectionnez à nouveau Suivant, vérifiez les paramètres, puis sélectionnez Créer.
Pour plus d’informations, consultez Utiliser des secrets Azure Key Vault.