使用PowerShell脚本中的托管标识从Azure Key Vault读取机密

Question

我正在使用下面的链接使用PowerShell脚本中的托管标识从Azure Key Vault读取机密。

链接：https://docs.microsoft.com/en-us/azure/active-directory/managed-identities-azure-resources/tutorial-windows-vm-ua-arm

PowerShell脚本

$response = Invoke-WebRequest -Uri 'http://169.254.169.254/metadata/identity/oauth2/token?api-version=2018-02-01&client_id=<%ManagedIdentitiesClientId%>&resource=https://management.azure.com/' -Method GET -Headers @{Metadata="true"}
$content = $response.Content | ConvertFrom-Json
$ArmToken = $content.access_token
Write-Output $ArmToken

当我在VDI上运行此脚本时，出现以下错误：-

Invoke-WebRequest : Unable to connect to the remote server
At line:1 char:13
+ $response = Invoke-WebRequest -Uri 'http://169.254.169.254/metadata/i ...
+             ~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~
    + CategoryInfo          : InvalidOperation: (System.Net.HttpWebRequest:HttpWebRequest) [Invoke-WebRequest], WebException
    + FullyQualifiedErrorId : WebCmdletWebResponseException,Microsoft.PowerShell.Commands.InvokeWebRequestCommand
 
ConvertFrom-Json : Cannot bind argument to parameter 'InputObject' because it is null.
At line:2 char:32
+ $content = $response.Content | ConvertFrom-Json
+                                ~~~~~~~~~~~~~~~~
    + CategoryInfo          : InvalidData: (:) [ConvertFrom-Json], ParameterBindingValidationException
    + FullyQualifiedErrorId : ParameterArgumentValidationErrorNullNotAllowed,Microsoft.PowerShell.Commands.ConvertFromJsonCommand

似乎我无法连接到http://169.254.169.254/网址。

是否有其他方法或任何帮助是非常感谢的。

Answer 1

可以在Azure DevOps管道中使用变量组来使用管道中的密钥Vault机密

转到您的运营模式项目-

将Azure密钥保管库中的链接秘密作为变量启用。请选择服务连接和密钥保管库。

确保为您的服务连接提供访问策略，以获取和列出机密

在变量下，单击添加并选择要在管道中使用的秘密。单击保存

单击管道权限并授予对管道的访问权限。

现在，您可以在CD管道中使用这些变量

参考：在运营模式管道中集成并获取Azure Key Vault秘密（zimmergren.net）