如何将 DevOps 发布机密传递给 ARM 以进行 Key Vault 部署

Question

我正在尝试使用 secretName 和 secretValue 部署密钥库，并且我在 azure devops 中创建了一个包含所有机密的变量组，并且我在参数文件中使用以下参数，但是当它被部署时秘密值存储为 $(secret)，而不是实际存储在 Azure DevOps 任务组中的密码。

  "secretsObject": {

    "value": {

      "secrets": [

        {

          "secretName": "App012",

          "secretValue": "$(mysecret)"

        },

这就是我在密钥库模板中得到的：

  {

    "type": "Microsoft.KeyVault/vaults/secrets",

    "name": "[concat(parameters('keyVaultName'), '/', parameters('secretsObject').secrets[copyIndex()].secretName)]",

    "apiVersion": "2018-02-14",

    "dependsOn": [

      "[concat('Microsoft.KeyVault/vaults/', parameters('keyVaultName'))]"

    ],

    "copy": {

      "name": "secretsCopy",

      "count": "[length(parameters('secretsObject').secrets)]"

    },

    "properties": {

      "value": "[parameters('secretsObject').secrets[copyIndex()].secretValue]"

    }

  }

]

}

知道如何将“秘密值”作为变量传递吗？

Answer 1

您需要创建一个参数文件，其中包含指向 Key Vault 的密钥/链接。

这是一个示例：

{
    "$schema": "https://schema.management.azure.com/schemas/2015-01-01/deploymentParameters.json#",
    "contentVersion": "1.0.0.0",
    "parameters": {
        "adminLogin": {
            "value": "exampleadmin"
        },
        "adminPassword": {
            "reference": {
              "keyVault": {
                "id": "/subscriptions/<subscription-id>/resourceGroups/<rg-name>/providers/Microsoft.KeyVault/vaults/<vault-name>"
              },
              "secretName": "ExamplePassword"
            }
        },
        "sqlServerName": {
            "value": "<your-server-name>"
        }
    }
}

更多信息：

https://docs.microsoft.com/en-us/azure/azure-resource-manager/templates/parameter-files

和https://docs.microsoft.com/en-us/azure/azure-resource-manager/templates/add-template-to-azure-pipelines

Answer 2

我相信您会问如何利用存储为变量组的机密，以便通过 Azure DevOps 使用 ARM 模板安全部署。如果是这种情况，请查看在您的发布任务中使用 Override Template Parameters。

这将采用 -NameOfARMParameter $(NameofDevOpsVariable) 的格式

在您的情况下，它将是 -mysecret $(NameOfDevOpsVariable)

部署 .json 的参数声明应如下所示：

 "secretValue": {
      "type": "string",
      "metadata": {
        "description": "This is for receiving a value from DevOps releases of the secret to be stored in the key vault"
      }
    },
"secretName": {
          "type": "string",
          "metadata": {
            "description": "Name of the Secret"
          }
        },

用于实际部署

{
  "type": "Microsoft.KeyVault/vaults/secrets",
  "name": "[concat(variables('keyVaultName'),'/',parameters('secretName'))]",
  "apiVersion": "2018-02-14",
  "properties": {
    "contentType": "text/plain",
    "value": "[parameters('secretValue')]"
  },
  "dependsOn": [
    "[resourceId('Microsoft.KeyVault/vaults',  variables('keyVaultName'))]"
  ]
},

如果这些值将从 Dev Ops 提供，则参数文件不需要包含任何内容