Azure-docs: Azure DevOps Build Pipeline जब वीनेट और फ़ायरवॉल के साथ सिक्योर होता है तो की वॉल्ट से सीक्रेट्स नहीं पा सकता है

@ aspnet4you प्रतिक्रिया के लिए धन्यवाद।
हम सक्रिय रूप से जांच कर रहे हैं और जल्द ही आपके पास वापस आ जाएंगे।

@ कल्याणचानुमोलु-एमएसएफटी - समस्या को देखने के लिए धन्यवाद। की वॉल्ट एक महत्वपूर्ण अवसंरचना घटक है और व्यवसाय की अपनी प्रकृति के अनुसार हम इसे बिना नेटवर्क के उजागर नहीं करना चाहते हैं। यदि मैं अपने वेंट में मशीन का निर्माण करता, तो यह ठीक होता लेकिन मेरा लक्ष्य CI / CD के लिए Azure DevOps का उपयोग करना है। मुझे कुंजियों और रहस्यों को तिजोरी की जरूरत है, और उन्हें सुरक्षित रूप से पुनः प्राप्त करने में सक्षम होना चाहिए।

@ aspnet4you , क्वेरी साझा करने के लिए धन्यवाद। IPs को श्वेत करना एक कुशल तरीका नहीं है, लेकिन इसका निश्चित रूप से एक समाधान है। हम Azure देव तिजोरी के लिए एक विश्वसनीय सेवा के रूप में Azure Dev Ops प्राप्त करने के लिए उत्पाद टीम के साथ काम कर रहे हैं और यह सभी शर्तों के लिए एक पूर्ण निर्धारण होगा। हमें कुछ समय दें और मैं अपने अगले अपडेट आपके साथ साझा करूंगा।

आप एजेंट IP पते को श्वेतसूची में बिल्ड परिभाषा में एक चरण जोड़ सकते हैं, फिर इसे बिल्ड के अंत में श्वेतसूची से निकाल सकते हैं। यह एक समाधान नहीं है, लेकिन एज़्योर उत्पाद टीम एक विश्वसनीय सेवा के रूप में एज़्योर देवओप्स को जोड़ने तक एक समाधान है। विचार प्रदान करने के लिए @ डैनियल मान का धन्यवाद।

समाधान सरल है, लेकिन मैं अपने बिल्ड एजेंट के आईपी पते को प्राप्त करने के लिए REST API समापन बिंदु के रूप में ipify.org पर भरोसा नहीं करने वाला था। इसके बजाय, मैंने Azure Function- GetClientIP पर अपनी स्वयं की (और विश्वसनीय) सेवा बनाई। DevOps मेरा दिन का काम नहीं है और मुझे यह पता लगाने के लिए कठिन समय था कि उपयोगकर्ता परिभाषित चर को कैसे असाइन करें और उनका उपयोग करें और उन्हें अगले चरण / कार्य / चरण में पाइपलाइन में पारित करें! वैरिएबल usages पर Microsoft प्रलेखन मुझे पर्याप्त मदद नहीं कर रहा था, लेकिन मैंने इसे बहुत सारे असफल रनों के बाद समझ लिया!

मेरे ब्लॉग पर पूरा समाधान देखें- Azure DevOps Build Pipeline- कुंजी तिजोरी से कुंजियों और रहस्यों का उपयोग करें ।

@ aspnet4you , एक भरोसेमंद सेवा के रूप में Azure DevOps प्राप्त करने पर बातचीत कर रहे हैं। Azure DevOps का एक अलग परिदृश्य है जहाँ की पहचान कुंजी वॉल्ट तक पहुँचती है जो ग्राहक की है, Microsoft की नहीं। यह "विश्वसनीय सेवा" के लिए मापनीयता और सुरक्षा आवश्यकताओं का उल्लंघन करता है।

अभी एकमात्र वर्कअवे DevOps मशीनों के IP पतों को AKV फ़ायरवॉल से जोड़ता है। यह डाटासेंटर के सभी आईपी की तुलना में एक छोटा उपसमुच्चय है, और यह 127 आईपी नियमों की सीमा में फिट होगा।

मैं वर्तमान में आईपी प्राप्त करने पर काम कर रहा हूं, और शीघ्र ही थ्रेड को अपडेट कर दूंगा।

@ aspnet4you , कृपया नीचे दिए गए IP के बारे में विवरण देखें:

AzureDevops सेवाओं को सफ़ेद करने के लिए - https://docs.microsoft.com/en-us/azure/devops/organizations/security/allow-list-ip-url?view=azure-devops

श्वेत सूचीबद्ध एजेंटों के लिए - https://docs.microsoft.com/en-us/azure/devops/pipelines/agents/hosted?view=azure-devops&tabs=yaml#agent -ip-श्रेणियाँ

उम्मीद है की यह मदद करेगा।

@ aspnet4you , आशा है कि यह मदद करता है। यदि हमारे आस-पास कोई और प्रश्न हो तो कृपया बेझिझक हमसे संपर्क करें। हम इस धागे को अभी के लिए बंद कर रहे हैं।

@ souravmishra-msft इसे सीम करता है कि श्वेतसूची एज़ुरूप सेवाएं प्रदान करता है, लिंक में आईपी है यह पर्याप्त नहीं है।
उदाहरण के लिए, चर समूह को देवोपास से उन रहस्यों से जोड़ने की कोशिश कर रहा हूँ जिनके लिए मुझे भी जोड़ने की जरूरत है आईपी: 52.236.xx (मैं जानबूझकर 2 बाइट छिपाता हूं)। क्या आप जानते हैं कि ये आईपी कहाँ से हैं? क्या आप devops वैरिएबल ग्रुप्स लिंकेज के लिए आईपी की पूरी रेंज प्रदान कर सकते हैं?

@ aspnet4you , क्वेरी साझा करने के लिए धन्यवाद। IPs को श्वेत करना एक कुशल तरीका नहीं है, लेकिन इसका निश्चित रूप से एक समाधान है। हम Azure देव तिजोरी के लिए एक विश्वसनीय सेवा के रूप में Azure Dev Ops प्राप्त करने के लिए उत्पाद टीम के साथ काम कर रहे हैं और यह सभी शर्तों के लिए एक पूर्ण निर्धारण होगा। हमें कुछ समय दें और मैं अपने अगले अपडेट आपके साथ साझा करूंगा।

इस फीचर पर कोई अपडेट? क्या 'एज़्योर देव ऑप्स के लिए एज़्योर की वॉल्ट के लिए एक विश्वसनीय सेवा के रूप में' फ़ीचर को ट्रैक करने के लिए कोई लिंक है

अन्य VNET सेवा समापन बिंदु PAAS प्रसाद के लिए समान अनुरोध - https://feedback.azure.com/forums/217298-storage/suggestions/35850511-make-azuredevops-a-trusted-microsoft-services-to

@ aspnet4you , एक प्रासंगिक कुंजी वॉल्ट एक्सेस पॉलिसी के बिना गोपनीयता / कुंजी प्राप्त करने के लिए आईपी को अकेले कैसे श्वेत सूची में

@oviliz - बहुत अच्छा सवाल। आईपी ​​की श्वेत सूची तिजोरी तक अनधिकृत पहुंच के खिलाफ अंतिम बचाव में से एक है। कुंजी और रहस्य प्राप्त करने और सूचीबद्ध करने के लिए सेवा प्राचार्य को कुंजी तिजोरी पहुंच नीति के साथ कॉन्फ़िगर किया जाना चाहिए। यह दूसरी आवश्यकता है जैसा कि मेरी पोस्ट में कहा गया है - एज़्योर देवओप्स बिल्ड पाइपलाइन- कुंजी वॉल्ट से कुंजियों और रहस्यों का उपयोग करें ।

हैलो @ कल्याणचानुमोलु-एमएसएफटी कोई अपडेट? आज मैंने उसी मुद्दे का सामना किया। मैं अपनी रिलीज़ पाइपलाइन (Azure DevOps) में Azure Key Vault चरण में अपने KV से गुप्त पुनर्प्राप्त नहीं कर सकता। आईपी ​​के ऊपर के लिंक टूट गए हैं ... तो मैं अपनी पाइपलाइन में रहस्यों को कैसे पुनः प्राप्त कर सकता हूं? विश्वसनीय Microsoft सेवाओं को इस फ़ायरवॉल को बायपास करने की अनुमति दें? (हाँ) - भी मदद नहीं की।

मैं इस मुद्दे का सामना कर रहा हूं और यह कीचड़ के रूप में स्पष्ट है जिसके लिए आईपी को श्वेतसूची में रखने की आवश्यकता है। इसके अलावा, यह हमारी तिजोरी को उन सेवाओं के लिए खोल रहा है जिन्हें हम नियंत्रित नहीं करते हैं इसलिए मैं इस समाधान से बहुत दुखी हूं।

और वैसे, ऊपर संदर्भित लेखों का कहना है कि आईपी रेंज साप्ताहिक बदल सकते हैं। हम सुझाव देते हैं कि हम फ़ायरवॉल को साप्ताहिक रूप से अपडेट करें और यहां तक ​​कि परिवर्तनों का ट्रैक रखने की कोशिश करना बहुत हास्यास्पद है।

मैं एक ही मुद्दे का सामना कर रहा हूं, और आईपी को साप्ताहिक रूप से सफेद करना बिल्कुल भी एक विकल्प नहीं है।

क्या VM के अंदर बिल्ड पाइपलाइन के लिए स्व-होस्टेड एजेंट होना संभव है, इस VM को VNet के अंदर सेटअप करें, और फिर कुंजी वॉल्ट में इसे एक्सेस करने की अनुमति दें? मैं किसी भी तरह से समर्थक नहीं हूं, इसलिए यह दृष्टिकोण कितना बेतुका है?

FWIW मैं यहाँ इस समाधान से प्रेरित था: https://www.visualstudiogeeks.com/DevOps/PrivateAzureAseV2AppServiceVstsDeploymentUsingAzureDtl

हमें सूची में जोड़ें। यह कैसे हो सकता है कि ADO कुंजी वाल्टों के लिए एक विश्वसनीय सेवा नहीं है?

यदि आप devops या होस्ट किए गए एजेंटों के लिए साप्ताहिक फ़ाइलों को खोजते हैं, तो यह किसी भी ips को उजागर नहीं करता है। आप https://www.microsoft.com/en-us/download/confirmation.aspx?id=id= में क्या ips का उपयोग कर रहे हैं ??? और यदि आप डाटासेंटर द्वारा खोज करते हैं, तो एप्सवर्क, डेस्पेस, आदि हैं, लेकिन क्या देवोप्स और मेजबान एजेंटों से संबंधित है?

@ शेनबाला-कीवॉल्ट, जैसा कि अनुरोध किया गया है, आपको इस धागे से जोड़ रहा है।

हमें सूची में जोड़ें। यह कैसे हो सकता है कि ADO कुंजी वाल्टों के लिए एक विश्वसनीय सेवा नहीं है?

आपके साथ वहाँ, कई प्रोजेक्ट्स को ऐज़ डेवोप्स में ले जाना चाहते हैं लेकिन यह एक इश्यू है

+1, यह asap तय किया जाना चाहिए। यहां तक ​​कि अगर गुप्त पाइपलाइन चर का उपयोग रिलीज के लिए किया जा सकता है, तो मैं सच्चाई का एक स्रोत होना चाहूंगा। गुप्त पाइपलाइन वैरिएबल मान को किसी भी तरह से सहेजने के बाद फिर से नहीं देखा जा सकता है क्योंकि आपने जानकारी को कहीं और संग्रहीत करने की आवश्यकता है।

इस मुद्दे के बारे में SO प्रश्न:

https://stackoverflow.com/q/61411653/3850405

+1 यह वास्तव में महत्वपूर्ण है। उस पर Microsoft की कोई टिप्पणी?

@ souravmishra-msft क्या इसे फिर से खोलना चाहिए?

@ ऑग्लस यह निश्चित रूप से फिर से खोला जाना चाहिए। उन्हें ips को सूचीबद्ध करना चाहिए या Azure Keyvault फ़ायरवॉल को बायपास करने के लिए सेवा को टैग करना चाहिए। वे इसे अन्य सेवाओं के लिए करते हैं, क्यों न अज़ोर देवोप्स?

+1, यहाँ भी यही समस्या है

+1

भी ढेर में शामिल होने पर .. मेरे लिए बहुत बड़ी समस्या है

पृथ्वी पर यह कैसे करीब है ???? "वर्कअराउंड" के लिंक लिंक या तो काम नहीं करते हैं :)

@jsburckhardt - सुनिश्चित नहीं है कि आप किस वर्कअराउंड का उल्लेख कर रहे हैं, लेकिन आप मेरे ब्लॉग पोस्ट की समीक्षा कर सकते हैं,
https://blogs.aspnet4you.com/2019/09/20/azure-devops-build-pipeline-use-keys-and-secrets-from-key-vault/

क्या हमें इसके लिए एक नया मुद्दा बनाने की ज़रूरत है, या इसे फिर से खोलने का कोई तरीका ढूंढना होगा, @ souravmishra-msft?

@captainbrown , मैंने इस धागे को फिर से खोल दिया है। मैंने प्रोग्राम मैनेजर को आंतरिक रूप से एक बार फिर से अपडेट किया है, क्योंकि उस समय से इस धागे को शुरू में खोला गया था, आंतरिक धागा उत्पाद टीम के साथ बनाया गया था।

मैं इस सूत्र को प्रोग्राम मैनेजर को भी सौंप रहा हूं। इस थ्रेड पर प्रतिक्रिया देने के लिए उन्हें कुछ समय लग सकता है क्योंकि मुझे इस जटिलता के बारे में निश्चित नहीं है कि इस बदलाव के लिए उत्पाद पक्ष की आवश्यकता हो सकती है।

मैंने इस गिथब थ्रेड के खिलाफ होने वाले आंतरिक धागे को भी टक्कर दी है और आपको प्रगति पर अपडेट रखेगा।

मैं यह भी बताना चाहूंगा कि मैंने अपने पहले एक थ्रेड में जिन URL का उल्लेख किया था, उन्हें ठीक कर दिया है। हो सकता है कि आप उस समय में भी एक बार उन पर एक नज़र डालें और हमें बताएं कि क्या वे आपके समाधान के लिए काम करते हैं और यदि हम उस पर भी अपडेट नहीं करते हैं।

@ souravmishra-msft इस मुद्दे को फिर से खोलने के लिए बहुत-बहुत धन्यवाद। देवोप्स सेवाओं के लिए पर्वतमालाओं को रखने से कीवाल्त तक पहुँच की अनुमति देने का काम नहीं होता है (शायद वेबसाइट पर श्रेणियाँ पुरानी हैं) और संभावित सबनेट्स की सूची कीवालों पर नेटवर्क एक्सेस कंट्रोल को जोड़ने के लिए पूरी तरह से लंबी है।

मेरी टीम और मैं आपके प्रोग्राम मैनेजर के शब्द का बेसब्री से इंतजार कर रहे होंगे

फिर से खोलने के लिए धन्यवाद ... @captainbrown मैंने वही मुद्दा देखा, जहां डाक सेवाओं के साथ प्रलेखन या जोंस फाइल निश्चित रूप से पुराना है / ठीक से प्रलेखित नहीं है।

सहमत, फिर से खोलने के लिए धन्यवाद। यह एक ऐसा मुद्दा है जिसे हम वास्तव में संबोधित करना चाहते हैं।

@ souravmishra-msft धन्यवाद, मुझे उम्मीद है कि इसे जल्द ही प्राथमिकता दी जाएगी।

+1, यह भी हमारे लिए एक मुद्दा है। न केवल Azure DevOps की-वॉल्ट तक पहुँच है, बल्कि हमें कुछ फ़ाइलों को बनाने और फ़ायरवॉल-सुरक्षित संग्रहण खाते में अपलोड करने के लिए DevOps पाइपलाइन की भी आवश्यकता है, लेकिन हम एक ही समस्या का सामना करते हैं, कि Azure DevOps एक विश्वसनीय सेवा नहीं है और समाधान साप्ताहिक आधार पर ~ 250 आईपी पते को श्वेतसूची में करना होगा, ताकि यह बहुत बदसूरत हो (प्लस यह भी सुनिश्चित नहीं है कि भंडारण आईडी फ़ायरवॉल में कितने आईपी पते जोड़े जा सकते हैं)। यह पता किया जा सकता है तो यह बहुत अच्छा होगा!

वर्तमान में इस समस्या के लिए एक समाधान है।

आप एक स्व-होस्ट किए गए एजेंट का उपयोग कर सकते हैं और निम्नलिखित आईपीवी 4 श्रेणियों को कुंजी वॉल्ट फ़ायरवॉल की अनुमति-सूची में जोड़ सकते हैं। यहाँ विवरण: https://docs.microsoft.com/en-us/azure/devops/pipelines/agents/v2-linux?view=azure-devops

(Azure DevOps टीम इस मुद्दे से अवगत है और वर्तमान में एक स्थायी सुधार के लिए काम जारी है)

यह सुविधा वर्तमान में पूर्वावलोकन में है।

यहाँ एक और काम है ... आप अपने खुद के vnet को स्केल सेट के साथ सेट कर सकते हैं।

https://docs.microsoft.com/en-us/azure/devops/pipelines/agents/scale-set-agents?view=azure-devops

एक और चाल ... मैं इस चाल का स्वामित्व नहीं लेता, किसी ने मुझे दिखाया।
यदि आपके पास एक उद्यम है, तो आपके पुस्तकालय के लिए कीवापल्स रहस्यों को पढ़ने की अनुमति देने का एक तरीका है।
यदि आपके पास एक व्यक्तिगत खाता है तो यह काम नहीं करता है।

आप एज़्योर / 11 नेटवर्क में फ़ायरवॉल खोल सकते हैं, कीवॉल्ट के साथ एज़्योर से एज़्योर से कनेक्शन सेटअप कर सकते हैं। चर लाइब्रेरी सेट करें और रहस्य जोड़ें। एक बार रहस्य जुड़ जाने के बाद, फ़ायरवॉल नियम को हटा दें और एक रहस्य जोड़ने का प्रयास करें। त्रुटि संदेश आपको एक आईपी पास करेगा जिसे आप फ़ायरवॉल में रख सकते हैं। हमने पाया है कि यह एक महीने में नहीं बदला है और हम समझते हैं कि यह बदल सकता है। इस बिंदु पर, हम हर किसी की तरह वर्कअराउंड की तलाश कर रहे हैं। मैं बनाता है और रिलीज के साथ आगे का परीक्षण करने के लिए जा रहा हूँ, लेकिन यह मूल Devops GUI सीधे Keyvaults के साथ बातचीत करने की अनुमति देता है।

फिर, यह व्यक्तिगत खाते के साथ काम नहीं करता है।

+1 हमें प्राइवेट लिंक / एंडपॉइंट के माध्यम से SQL सर्वर में AzDO का उपयोग करने की समान समस्या है।

+1 समान मुद्दा यहाँ।

यहाँ पर वर्कअराउंड्स दिए गए हैं। यह दस्तावेज़ के साथ ही समस्या नहीं है। यह एक वैकल्पिक हल है https://docs.microsoft.com/en-us/azure/devops/pipelines/agents/v2-linux?view=azure-devops # कृपया बंद करें आप यहां सुविधा अनुरोध भी पोस्ट कर सकते हैं : https: // developercommunity.visualstudio.com/spaces/21/index.html

फ़ीचर अनुरोध यहाँ:

https://developercommunity.visualstudio.com/idea/1152209/azure-devops-build-pipeline-cant-get-secrets-from-1.html

+1, आज इस मुद्दे को हिट करें।

यदि Microsoft Azure DevOps के लिए सेवा टैग सक्षम करने जा रहा है, तो क्या यह किसी तरह से Keyvault फ़ायरवॉल पर उपयोग किया जा सकता है? https://devblogs.microsoft.com/devops/new-ip-address-ranges-with-service-tags-for-azure-devops-services/

@ JQUINONES82 मैं मेजबान एजेंटों के लिए नहीं डरता। आपके लिंक से:

सर्विस होस्ट Microsoft होस्टेड एजेंट पर लागू नहीं होता है।

+1, पिछले 2 वर्षों से इसे मार रहा है

+1, आज इस मुद्दे को हिट करें।

यह बंद है, तो मैं कैसे तय करूं?

सुरक्षा सुविधा अनुरोध नहीं है, यह किसी भी क्लाउड घटक के लिए एक आवश्यकता है। यदि यह ठीक नहीं है, तो क्या इसे फिर से खोला जा सकता है? मैंने पूर्वावलोकन में कुछ होने का उल्लेख किया है ... मैं एक पूर्वावलोकन सुविधा लूंगा। यह हमारी तैनाती को आयोजित करने जा रहा है क्योंकि मैं ऐसा करने के लिए और भी अधिक पैसे वीएम को कताई में खर्च नहीं करना चाहता ...

@jsburckhardt - सुनिश्चित नहीं है कि आप किस वर्कअराउंड का उल्लेख कर रहे हैं, लेकिन आप मेरे ब्लॉग पोस्ट की समीक्षा कर सकते हैं,
https://blogs.aspnet4you.com/2019/09/20/azure-devops-build-pipeline-use-keys-and-secrets-from-key-vault/

हाय मेट, एक अच्छा वर्कअराउंड है। सुरक्षा प्रतिबंधों के कारण Unfortunatelly। टीम केवी / वीनेट श्वेतसूची वाले आईपी का नियंत्रण नहीं है