Codeondertekening met Azure DevOps

Deze zelfstudie geeft een inleiding tot het ondertekenen van code met Azure DevOps, met behulp van een certificaat dat is opgeslagen in Azure Key Vault. Om deze instructies te volgen heeft u nodig:

• An Azure-account
• A DevOps-project
• A Sleutel kluis
• A certificaat voor codeondertekening geïnstalleerd in uw Key Vault. Je kan of:
  • Genereer een CSR en installeer een certificaat in Key Vault or
  • Importeer een certificaat in Key Vault

Registreer een Azure-toepassing

Eerst moet u een nieuwe Azure-toepassing registreren, zodat u voor ondertekening verbinding kunt maken met uw Key Vault.

1. Log in bij de Azure-portal.
   
2. Navigeer naar Azure Active Directory. (Klik Meer diensten als het Azure Active Directory-pictogram niet zichtbaar is.)
   
3. Klik App-registraties, in de linkerkolom.
   
4. Klik Nieuwe registratie.
   
5. Geef uw aanvraag een Naam En klik op de knop Registreren knop. Laat de andere instellingen op hun standaardwaarden staan.
   
6. Uw nieuwe aanvraag is geregistreerd. Kopieer en bewaar de waarde die wordt weergegeven voor Applicatie (klant) ID, omdat je het later nodig hebt.
   

Maak een clientgeheim

Genereer vervolgens een clientgeheim, dat als referentie zal dienen bij het ondertekenen.

1. Klik Certificaten en geheimen in het linker menu.
   
2. Klik Nieuw klantgeheim.
   
3. Geef uw cliëntgeheim een Omschrijving, stel de vervaldatum in zoals gewenst en klik op de Toevoegen knop.
   
4. Kopieer de Waarde van uw nieuwe cliëntgeheim per direct en bewaar het op een veilige plaats. De volgende keer dat de pagina wordt vernieuwd, wordt deze waarde gemaskeerd en kan deze niet worden hersteld.
   
   

Toegang inschakelen in Key Vault

Nu moet u toegang voor uw toepassing inschakelen in Azure Key Vault.

1. Navigeer naar de Key Vault met het certificaat dat u wilt gebruiken voor ondertekening en klik op het Toegangsbeleid link.
   
2. Klik Toegangsbeleid toevoegen.
   
3. Onder Sleutelrechten, inschakelen Verify,  Sign, Get en List.
   
4. Onder Geheime machtigingen, inschakelen Get en List.
   
5. Onder Certificaatrechten, inschakelen Get en List.
   
6. Klik op de Geen geselecteerd link, onder Selecteer de opdrachtgeveren gebruik vervolgens het zoekveld om de applicatie te zoeken en te selecteren die u in de vorige sectie hebt gemaakt.
   
7. Klik op de kies knop.
   
8. Klik op de Toevoegen knop.
   
9. Klik Bespaar.
   
10. Uw toegangsbeleid is ingesteld.
    

Configureer DevOps Build

Nu kunt u uw build configureren. Open uw project in Azure DevOps.

Sla toepassingsreferenties op als variabelen

U kunt uw toepassings-ID en clientgeheim rechtstreeks in uw YAML-pijplijnbestand opnemen, maar het is veiliger als u ze opslaat als variabelen in DevOps.

1. Klik Pijpleidingen.
   
2. Klik Bibliotheek.
   
3. Klik + Variabele groep.
   
4. Geef uw variabelegroep een naam.
   
5. Klik Toevoegen.
   
6. Voer een variabelenaam in voor uw toepassings-ID en plak de waarde in. Klik op het slotje om de variabele te versleutelen als je klaar bent.
   
7. Herhaal het proces om een ​​variabele toe te voegen voor uw cliëntgeheim.
   
8. Klik Bespaar.
   
9. Koppel de variabelegroep in uw pijplijn. (vervang VARIABLE-GROUP door de naam van uw feitelijke variabelegroep.)

   variabelen: - group: 'VARIABLE-GROUP'

Voeg pijplijnstap toe om Azure Sign Tool te installeren

Azure Sign-hulpprogramma is een open-sourceprogramma dat TekenTool functionaliteit voor certificaten en sleutels die zijn opgeslagen in Azure Key Vault. Voeg de volgende stap toe aan uw pijplijn om Azure Sign Tool te installeren:

- task: DotNetCoreCLI @ 2 inputs: command: 'custom' custom: 'tool' arguments: 'install --global azuresigntool' displayName: Installeer AzureSignTool

Voeg de opdracht Azure Sign Tool toe aan Pipeline

1. Nu kunt u een taak toevoegen om uw code aan de pijplijn te ondertekenen. U heeft de volgende gegevens nodig:
   • Your Key Vault-URI (beschikbaar in de Azure Portal):
     
   • De beschrijvende naam van uw certificaat in Key Vault:
     
   • Your Applicatie ID en Cliëntgeheim variabelenamen:
     
2. Voeg de Azure Sign Tool-aanroep toe aan uw pijplijn. Vervang de waarden die in HOOFDLETTERS worden weergegeven door uw werkelijke waarden:

   - taak: CmdLine @ 2 inputs: script: AzureSignTool sign -kvu "KEY-VAULT-URI" -kvi "$ (APPLICATION-ID-VAR)" -kvs "$ (CLIENT-SECRET-VAR)" -kvc CERTIFICATE-NAME -tr "http://ts.ssl.com" -td sha256 "FILE-TO-SIGN" displayName: tekencode

3. Je zou de output als volgt moeten zien als het ondertekenen succesvol is:

   info: AzureSignTool.Program [0] => Bestand: D: \ a \ 1 \ s \ x64 \ Debug \ HelloWorld.exe Tekenbestand D: \ a \ 1 \ s \ x64 \ Debug \ HelloWorld.exe info: AzureSignTool. Programma [0] => Bestand: D: \ a \ 1 \ s \ x64 \ Debug \ HelloWorld.exe De ondertekening is succesvol voltooid voor bestand D: \ a \ 1 \ s \ x64 \ Debug \ HelloWorld.exe.