如何将DevOps发布机密传递给ARM进行密钥库部署

Question

我试图用secretname和secretvalue部署一个密钥存储库，并在azure devops中创建了一个包含所有秘密的变量组，我在参数文件中使用了以下参数，但是当部署这个参数时，秘密值将存储为$(secret)，而不是实际存储在azure devops任务组中的密码。

  "secretsObject": {

    "value": {

      "secrets": [

        {

          "secretName": "App012",

          "secretValue": "$(mysecret)"

        },

这是我在密钥库模板中得到的：

  {

    "type": "Microsoft.KeyVault/vaults/secrets",

    "name": "[concat(parameters('keyVaultName'), '/', parameters('secretsObject').secrets[copyIndex()].secretName)]",

    "apiVersion": "2018-02-14",

    "dependsOn": [

      "[concat('Microsoft.KeyVault/vaults/', parameters('keyVaultName'))]"

    ],

    "copy": {

      "name": "secretsCopy",

      "count": "[length(parameters('secretsObject').secrets)]"

    },

    "properties": {

      "value": "[parameters('secretsObject').secrets[copyIndex()].secretValue]"

    }

  }

]

Answer 1

我相信您在询问如何利用存储为变量组的秘密，通过Azure DevOps与ARM模板一起安全部署。如果是这种情况，请查看在发布任务中使用重写模板参数。

它的格式为-nameofarmparameter$(NameofDevOpsVariable)

在您的示例中，它将是-mysecret$(NameOfDevOpsVariable)

 "secretValue": {
      "type": "string",
      "metadata": {
        "description": "This is for receiving a value from DevOps releases of the secret to be stored in the key vault"
      }
    },
"secretName": {
          "type": "string",
          "metadata": {
            "description": "Name of the Secret"
          }
        },

{
  "type": "Microsoft.KeyVault/vaults/secrets",
  "name": "[concat(variables('keyVaultName'),'/',parameters('secretName'))]",
  "apiVersion": "2018-02-14",
  "properties": {
    "contentType": "text/plain",
    "value": "[parameters('secretValue')]"
  },
  "dependsOn": [
    "[resourceId('Microsoft.KeyVault/vaults',  variables('keyVaultName'))]"
  ]
},

如果这些值将从开发人员提供，则参数文件中不需要包含任何内容