为 GitLab Pipeline 安全地检索 Azure 租户 ID、客户端 ID 和客户端密钥

Question

我正在设置GitLab管道来运行一些TerraForm配置，以在我们的Azure AD和Hashicorp Vault实例之间启用OIDC身份验证。该解决方案的概念证明已成功实施。

为了保护一些消耗的敏感数据，需要在运行时牢固地存储以下Azure凭据，加密并注入GitLab管道中：

1. 租户ID
2. 客户端
3. 客户端秘密，

因此我们希望识别并实施理想的解决方案，以实现一个理想的解决方案，以实现一个理想的解决方案实现此目标，并将很容易地使用AWS，Azure或Hashicorp保管库考虑安全的存储选项，这都是我们技术堆栈的一部分。有什么建议或建议吗？

Answer 1

房客ID和客户ID并不是特别敏感的信息，因此我认为您不必安全地存储/访问这些信息。

为了保护客户的秘密，您可以使用组变量。

将秘密保存到诸如Azure密钥库之类的服务上是可能的，但是您需要一个应用程序注册（另一个客户ID和秘密）才能再次检索它。

Answer 2

这就是秘密的事情：您必须从某个地方开始。这个问题通常称为“安全介绍”。让我们遵循这条路。

它首先是在Azure-AD中注册Vault，从而为您提供关注的值。如果您在管道中的Azure AD中注册Vault，最好的是保持值并立即重复使用它们以配置Vault的OIDC Auth后端。

但是根据您的要求，您无法将其存储在您的Terraform状态下。每年左右，也存在定期更改客户秘密的问题。

当您在Azure-AD中注册Vault时，请在版本2 KV商店中写下凭据，并具有受限的策略。即使只有客户的秘密是一个秘密，我们仍将凭据存储在这样的文档中：

{
   "client_id": "..........",
   "client_secret": "...........",
   "tenant_id": "............"
}

然后，我们从金库中读取这些值，并使用它们来配置OIDC Auth后端。当客户端秘密更改时，将其作为秘密的新版本，并通过配置管道的下一个运行来挑选。

Answer 3

OIDC 不需要在 GitLab 中存储或访问客户端密钥。这是使用 OIDC 的主要好处：您不必在 GitLab 中存储/访问任何机密。您只需使用 $CI_JOB_JWT_V2 令牌即可。

这不是对您有关安全访问凭据的问题的直接答案，其他答案已回答了该问题。但我将向您展示如何设置 OIDC，这样您甚至不必首先存储客户端密钥。

---

首先，您需要在 Azure 中注册一个应用程序。您可以按照 这些说明用于注册应用程序并创建服务主体。

执行此操作后，记下应用程序（客户端）ID 和目录（租户）ID 的值（位于应用程序概述窗格中）。步骤 3 将需要这些值。

其次，您需要将联合凭据添加到应用程序的服务主体。在 Azure 门户中，转到注册的应用程序 -> 您的应用程序。在侧边栏中，选择证书和证书秘密。在联合凭据选项卡下，单击“添加凭据”按钮

使用以下参数进行凭据配置：

联合凭据 sceanrio：其他颁发者< br>
发行者：您的 gitlab URL，例如 https://gitlab.example.com
主题标识符：要匹配的 sub 声明的值。例如，要允许 contoso/myproject 项目的 main 分支上的作业使用此服务主体，请使用 project_path:contoso/myproject:ref_type:branch：参考：主要
名称：联合凭据的任何描述性名称（例如 contoso-myproject-main）
描述：可选，联合凭据的描述。
受众：您的 GitLab URL，例如 https://gitlab.example.com

最后，您现在可以使用 OIDC 从 gitlab 登录 Azure：

azure-cli:
  image: mcr.microsoft.com/azure-cli
  variables:
    AZURE_CLIENT_ID: "YOUR Application Client ID"
    AZURE_TENANT_ID: "YOUR TENANT ID"
  script:
    - az login --tenant $AZURE_TENANT_ID --service-principal -u $AZURE_CLIENT_ID --federation-token $CI_JOB_JWT_V2
    # now you are logged into Azure and can take other actions using the CLI
    # - az resource list # example

记下客户端 ID 和租户 ID不是敏感信息，因此可以合理地将它们直接添加到您的 YAML 中。