Usare i segreti Azure Key Vault nella pipeline

1. Accedere al portale di Azure e quindi selezionare Crea una risorsa.

2. In Key Vault selezionare Crea per creare un nuovo Azure key vault.

3. Selezionare la sottoscrizione dal menu a discesa e quindi selezionare un gruppo di risorse esistente o crearne uno nuovo. Immettere il nome del deposito di chiavi, selezionare una regione, scegliere un piano tariffario e selezionare Avanti per configurare altre proprietà. In caso contrario, selezionare Rivedi e crea per mantenere le impostazioni predefinite.

4. Una volta completata la distribuzione, selezionare Vai alla risorsa.

1. Prima di tutto, impostare l'area predefinita e la sottoscrizione di Azure:

   • Impostare la sottoscrizione predefinita:

     az account set --subscription <your_subscription_name_or_subscription_ID>
     

   • Impostare l'area predefinita:

     az config set defaults.location=<your_region>
     

2. Creare un nuovo gruppo di risorse in cui ospitare l'Azure Key Vault. Un gruppo di risorse è un contenitore che contiene risorse correlate per una soluzione di Azure:

   az group create --name <your-resource-group>
   

3. Crea un nuovo Azure Key Vault:

   az keyvault create \
     --name <your-key-vault-name> \
     --resource-group <your-resource-group>
   

Creare un'identità gestita assegnata dall'utente

1. Accedere al portale Azure e quindi cercare il servizio Managed Identities nella barra di ricerca.

2. Selezionare Crea e quindi compilare i campi obbligatori:

   • Sottoscrizione: selezionare la sottoscrizione dal menu a discesa.
   • Gruppo di risorse: selezionare un gruppo di risorse esistente o crearne uno nuovo.
   • Area: selezionare un'area dal menu a discesa.
   • Nome: immetti un nome per l'identità gestita assegnata dall'utente.

3. Al termine, selezionare Rivedi e crea .

4. Una volta completata la distribuzione, selezionare Vai alla risorsa. Copiare la sottoscrizione e l'ID client perché sono necessari nei passaggi successivi.

5. Passare a Impostazioni>Proprietà e copiare il l'ID tenant dell'identità gestita per essere utilizzato in un secondo momento.

Configurare le politiche di accesso del Key Vault

1. Vai al Azure Portal e usa la barra di ricerca per trovare il Key Vault creato in precedenza.

2. Selezionare Criteri di accesso e quindi Crea per aggiungere un nuovo criterio.

3. In Autorizzazioni segrete selezionare le caselle di controllo Recupera ed Elenco .

4. Selezionare Avanti e quindi incollare l'ID client dell'identità gestita creata in precedenza nella barra di ricerca.

5. Selezionare l'identità gestita, selezionare Avanti e quindi di nuovo Avanti .

6. Rivedi la tua nuova politica e quindi seleziona Crea al termine.

Creare una connessione al servizio

1. Accedere all'organizzazione di Azure DevOps e quindi passare al progetto.

2. Selezionare Impostazioni progetto>Connessioni al servizio e quindi selezionare Nuova connessione al servizio.

3. Selezionare Azure Resource Manager, quindi selezionare Avanti.

4. In Tipo di identità selezionare Identità gestita dal menu a discesa.

5. Per Passaggio 1: Dettagli identità gestita compilare i campi:

   • Sottoscrizione per l'identità gestita: selezionare la sottoscrizione che contiene l'identità gestita.
   • Gruppo di risorse per l'identità gestita: selezionare il gruppo di risorse in cui è ospitata l'identità gestita.
   • Identità gestita: selezionare l'identità gestita dal menu a discesa.

6. Per Fase 2: Ambito Azure, compilare i campi:

   • Livello di ambito per la connessione al servizio: selezionare Sottoscrizione.
   • Sottoscrizione per la connessione al servizio: selezionare la sottoscrizione a cui accede l'identità gestita.
   • Gruppo di risorse per la connessione al servizio: (facoltativo) Specificare questo elemento se si vuole limitare l'accesso a un gruppo di risorse specifico.

7. Per Passaggio 3: Dettagli connessione al servizio, compilare i campi:

   • Nome connessione al servizio: immettere un nome per la connessione al servizio.
   • Informazioni di riferimento sulla gestione dei servizi: (facoltativo) Includere informazioni di contesto da un database ITSM.
   • Descrizione: (Facoltativo) Aggiungere una descrizione.

8. In Sicurezza selezionare la casella di controllo Concedi l'autorizzazione di accesso a tutte le pipeline per consentire a tutte le pipeline di usare questa connessione al servizio. Se si lascia vuota questa casella di controllo, è necessario concedere manualmente l'accesso per ogni pipeline.

9. Selezionare Salva per convalidare e creare la connessione al servizio.

   

Creare un'entità servizio

In questo passaggio viene creato un nuovo service principal in Azure in modo che le pipeline possano accedere a Azure Key Vault.

1. Passare al portale Azure e quindi selezionare l'icona >_ dal menu in alto per aprire Azure Cloud Shell.

2. Selezionare PowerShell o Bash, a seconda delle preferenze.

3. Eseguire il comando seguente per creare un nuovo principale del servizio.

   az ad sp create-for-rbac --name YOUR_SERVICE_PRINCIPAL_NAME
   

4. Dopo l'esecuzione del comando, si ottiene un output simile all'esempio seguente. Copiare e salvare l'output perché è necessario per creare una connessione al servizio nel passaggio successivo.

   {
     "appId": "00001111-aaaa-2222-bbbb-3333cccc4444",
     "displayName": "MyServicePrincipal",
     "password": "***********************************",
     "tenant": "aaaabbbb-0000-cccc-1111-dddd2222eeee"
   }
   

Creare una connessione al servizio

1. Accedere all'organizzazione di Azure DevOps e quindi passare al progetto.

2. Selezionare Impostazioni progetto e quindi Connessioni al servizio.

3. Selezionare Nuova connessione al servizio>Azure Resource Manager e quindi selezionare Next.

4. Selezionare Principale del servizio (manuale) e quindi selezionare Avanti.

5. In Tipo di identità selezionare Registrazione app o identità gestita (manuale).

6. In Credenziali selezionare Federazione dell'identità del carico di lavoro.

7. Specificare un nome per la connessione al servizio e quindi selezionare Avanti.

8. Copiare i valori issuer e Subject identifier perché sono necessari nel passaggio successivo.

9. Per Environment selezionare Azure Cloud. Per Ambito sottoscrizione selezionare Sottoscrizione.

10. Immettere l'ID sottoscrizione Azure e il nome della sottoscrizione.

11. In Autenticazione, incollare i valori ID applicazione (client) del principale del servizio e ID directory (tenant).

12. Nella sezione Sicurezza selezionare la casella di controllo Concedi l'autorizzazione di accesso a tutte le pipeline per consentire a tutte le pipeline di usare questa connessione al servizio. Se si ignora questo passaggio, è necessario concedere manualmente l'accesso per ogni pipeline.

13. Lasciare aperta questa pagina. Ritorna per completare il lavoro dopo aver creato le credenziali federate in Azure e aver concesso all'entità servizio l'accesso in lettura a livello di sottoscrizione.

    

Creare una credenziale federata in Azure

1. Passare al portale Azure e quindi usare la barra di ricerca per trovare il service principal inserendo il suo ID client. Selezionare l'applicazione corrispondente nei risultati.

2. In Gestisci, selezionare Certificati e segreti>Credenziali federate.

3. Selezionare Aggiungi credenziali e quindi per Scenario di credenziali federate selezionare Altro emittente.

4. Nel campo Issuer, incolla il valore Issuer che hai copiato in precedenza dalla connessione al servizio.

5. Nel campo Identificatore oggetto incollare l'identificatore del soggetto copiato in precedenza.

6. Immettere un nome per le credenziali federate e quindi selezionare Aggiungi al termine.

   

Aggiungere un'assegnazione di ruolo alla sottoscrizione

Prima di poter verificare la connessione, è necessario concedere all'entità servizio l'accesso in lettura a livello di sottoscrizione:

1. Vai al portale di Azure.

2. In Servizi di Azure selezionare Sottoscrizioni e quindi trovare e selezionare la sottoscrizione.

3. Selezionare Controllo di accesso (IAM) e quindi Aggiungi>Aggiungi assegnazione di ruolo.

4. Nella scheda Ruolo selezionare Lettore e quindi avanti.

5. Selezionare Utente, gruppo o entità servizio, quindi scegliere Seleziona membri.

6. Nella barra di ricerca, incolla l'ID oggetto del principale del servizio, selezionalo e quindi scegli Seleziona.

7. Selezionare Rivedi e assegna, rivedere le impostazioni e quindi selezionare di nuovo Rivedi e assegna per confermare.

8. Dopo aver aggiunto l'assegnazione di ruolo, tornare alla connessione al servizio in Azure DevOps e selezionare Verify e Salva per salvare la connessione al servizio.

Configurare i criteri di accesso del Key Vault

1. Passare al portale Azure, individuare l'insieme di credenziali delle chiavi creato in precedenza e quindi selezionare Criteri di accesso.

2. Selezionare Crea e quindi in Autorizzazioni segrete aggiungere le autorizzazioni Get ed List e quindi selezionare Avanti.

3. Sotto Principale, incollare l'ID oggetto del principale del servizio, selezionarlo e quindi selezionare Avanti.

4. Selezionare di nuovo Avanti , rivedere le impostazioni e quindi selezionare Salva per applicare il nuovo criterio.