第 1 章 在 Azure Pipelines 中添加 secret 和变量以与外部工具集成

流程

1. 登录 https://dev.azure.com 并打开 Azure DevOps 项目。
2. 在左侧导航面板中，选择 Pipelines，然后选择 Library。
3. 选择 Variable group 来创建新变量组。
4. 输入变量组的名称，如 rhtap。

5. 在变量组编辑器中：

   1. 选择 Add 来添加新变量。
   2. 在 Name 字段中输入密钥。例如，GITOPS_AUTH_PASSWORD。
   3. 在 Value 字段中，输入用于与 GitOps 存储库进行身份验证的值，以推送更新的镜像信息。
   4. 选中 Keep this value secret 复选框，以屏蔽 UI 和日志中的值。

6. 重复步骤 5 以添加所有必需的 secret：

   Expand

   表 1.1. 镜像 registry 和 GitOps secret

   变量	描述
   IMAGE_REGISTRY_PASSWORD	用于访问容器镜像 registry 的密码。
   GITOPS_AUTH_PASSWORD	系统用来为新构建镜像更新 GitOps 存储库的令牌。

   Show more
   Expand

   表 1.2. ACS 和 SBOM 任务所需的 secret

   变量	描述
   ROX_API_TOKEN	用于访问 ROX 服务器的 API 令牌。
   COSIGN_SECRET_PASSWORD	Cosign 签名密钥的密码。
   COSIGN_SECRET_KEY	Cosign 的私钥。
   TRUSTIFICATION_OIDC_CLIENT_SECRET	与客户端 ID 一起使用的客户端 secret，以向 Trustification Bombastic API 进行身份验证。

   Show more

6. 现在，添加常规环境变量，且不屏蔽它们的值。在变量组编辑器中：

   1. 选择 添加。
   2. 在 Name 字段中输入密钥。例如，IMAGE_REGISTRY_USER。
   3. 在 Value 字段中，输入值。在我们的示例中：用于访问容器镜像 registry 的用户名。
   4. 不要选择 Keep this value secret 复选框。

7. 重复步骤 6 以添加所有必需的环境变量：

   Expand

   表 1.3. 镜像 registry 和 GitOps 变量

   变量	描述
   IMAGE_REGISTRY_USER	用于访问容器镜像 registry 的用户名。
   GITOPS_AUTH_USERNAME （可选）	您的 OpenShift GitOps 用户名。Azure 需要此变量才能使用 Bitbucket。默认情况下，带有此变量的行在 azure-pipelines.yml 文件中被注释。要开始使用 Bitbucket，请取消对第 # GITOPS_AUTH_USERNAME: $(GITOPS_AUTH_USERNAME) 行的所有 5 实例的注释。

   Show more
   Expand

   表 1.4. ACS 和 SBOM 任务所需的变量

   变量	描述
   ROX_CENTRAL_ENDPOINT	ROX Central 服务器的端点。
   COSIGN_PUBLIC_KEY	Cosign 的公钥。
   TRUSTIFICATION_BOMBASTIC_API_URL	SBOM 生成中使用的 Trustification Bombastic API 的 URL。
   TRUSTIFICATION_OIDC_ISSUER_URL	与 Trustification Bombastic API 交互时用于身份验证的 OIDC 签发者 URL。
   TRUSTIFICATION_OIDC_CLIENT_ID	用于使用 OIDC 向 Trustification Bombastic API 进行身份验证的客户端 ID。
   TRUSTIFICATION_SUPPORTED_CYCLONEDX_VERSION	指定系统支持并生成的 CycloneDX SBOM 版本。

   Show more

   可选 ：如果您的 CI 供应商运行程序没有在与 RHADS - SSC 实例相同的集群中运行，则设置 Rekor 和 TUF 变量。

   Expand

   表 1.5. Rekor 和 TUF 变量

   变量	描述
   REKOR_HOST	您的 Rekor 服务器的 URL。
   TUF_MIRROR	您的 TUF 服务的 URL。

   Show more

8. 选择 Save。

9. 授权管道使用此变量组：

   1. 选择 Pipeline 权限 标签页。
   2. 选择 Add pipeline。
   3. 选择需要访问此变量组的管道，然后选择 Authorize selected pipelines。

10. 可选： 如果您将不同的名称用于 rhtap 以外的变量组，您必须更新 azure-pipelines.yml 文件中的变量组名称。

    variables:
        - group: <my-variable-group>

    Copy to Clipboard Toggle word wrap

验证

1. 重新运行最新的管道。如果正确应用了 secret，管道将成功完成。运行后，验证 RHACS 或 SBOM 等任务是否显示预期的详情。