使用Azure DevOps启用Azure钥匙库防火墙 - 当KV在不同订阅中的最佳方法是什么？

Question

使用Azure DevOps启用Azure钥匙库防火墙 - 当KV在不同订阅中的最佳方法是什么？

• 要求是将SSL证书从KeyVault附加到应用程序服务。
• 运行管道时，它总是显示Azure构建代理没有访问权限，并且错误为[statusCode = 403 - 原始错误：Autorest/Azure：服务返回错误。状态= 403 code =“禁止”消息=“客户端地址未经授权，呼叫者不是值得信赖的服务。InnerError= {“代码”：“ ForbiddenbyFireWall”}）

是否有一种方法可以最好地实现此目标？我们不能允许所有MS Build Agent允许所有MS Build Agent IPS。

Answer 1

由于需要创建服务主体为了授予管道访问键库，您可以简单地提供在Azure门户中，KeyVault页面的访问控制（IAM）窗格中更新防火墙设置的相同主要特权，并暂时将代理IP地址添加到Key Vault Vault的Firewall White列表中，例如：

  - task: AzureCLI@2
    displayName: Add devops host ip address
    inputs:
      azureSubscription: "MyAzureSubscription"
      scriptType: "bash"
      scriptLocation: "inlineScript"
      inlineScript: |
        agent_ip=$(curl -s http://ipinfo.io/json | jq -r '.ip')
        az keyvault network-rule add --name MyKeyVault --resource-group MyResourceGroup --ip-address $agent_ip

  - task: AzureKeyVault@2
    displayName: Load Secret from Key Vault
    inputs:
      azureSubscription: "MyAzureSubscription"
      KeyVaultName: "MyKeyVault"
      SecretsFilter: "*"
      # If this is true, then it will run before the ip address is whitelisted
      RunAsPreJob: false 

  - task: AzureCLI@2
    displayName: Remove devops host ip address (Clean up)
    # this ensures that the firewall is cleaned up, even if a prior task fails:
    condition: always()
    inputs:
      azureSubscription: "MyAzureSubscription"
      scriptType: "bash"
      scriptLocation: "inlineScript"
      inlineScript: |
        agent_ip=$(curl -s http://ipinfo.io/json | jq -r '.ip')
        az keyvault network-rule remove --name MyKeyVault --resource-group MyResourceGroup --ip-address $agent_ip

Answer 2

您不能用默认代理池对此进行存档。您必须在Azure租户中使用自托管代理作为VM或Scale-Set，然后可以配置防火墙，甚至可以在专用网络中使用KV。更多此处对于scale-set，上面是此链接，您可以找到如何安装代理在单个VM（Linux或Windows）上

Answer 3

我遇到了同样的问题，正如我所看到的，我们有很少的选择：

• 自托管代理 - 您拥有自己的虚拟机，该虚拟机与您的Azure DevOps组织连接，然后，由于VM有公共IP键值中的IP-非常努力设置VM，但给予了很多灵活性
• ，所有 microsoft host-host-host-host-host-host-host host insentents - my least favourite one
• whitelisting particular IP during the pipeline execution as described by Panu Oksala in