セキュリティで保護されたパイプライン用にエージェントとエージェントプールを構成する

このラボでは、Azure DevOps エージェントとエージェントプールを構成し、それらのプールのアクセス許可を管理する方法について学習します。 Azure DevOps エージェントプールには、ビルドおよびリリースパイプラインを実行するためのリソースが用意されています。

この演習には、約 25 分かかります。

開始する前に

ラボの演習を行うには、Azure サブスクリプション、Azure DevOps 組織、eShopOnWeb アプリケーションが必要です。

手順に従ってラボ環境を検証します。

手順

エージェントを作成し、Windows を使用してセルフホステッドエージェントを構成します。 Linux または macOS でエージェントを構成する場合は、Azure DevOps ドキュメントの手順を行います。

構成時は、次の点に注意してください。

プロジェクトごとに個別のエージェントを維持する: 各エージェントは、1 つのプールにのみ関連付けることができます。プロジェクト間でエージェントプールを共有すると、インフラストラクチャコストを節約できますが、横移動のリスクも生じます。そのため、相互感染を防ぐために、プロジェクトごとに専用エージェントを含む個別のエージェントプールを用意することをお勧めしています。
特権の低いアカウントを使用してエージェントを実行する: Azure DevOps リソースに直接アクセスできる ID でエージェントを実行すると、セキュリティ上の脅威が発生する可能性があります。 Network Service などの特権のないローカルアカウントでエージェントを操作することをお勧めします。これにより、リスクが最小限に抑えられます。
誤解を招くグループ名に注意する: Azure DevOps の「プロジェクトコレクションサービスアカウント」グループは潜在的なセキュリティリスクがあります。このグループの一部であり、Azure AD によってサポートされている ID を使用してエージェントを実行すると、Azure DevOps 組織全体のセキュリティが危険にさらされる可能性があります。
セルフホステッドエージェントに高い特権のアカウントを使用しないようにする: 高い特権のアカウントを使用してセルフホステッドエージェントを実行すると、特にシークレットや運用環境にアクセスする場合、パイプラインが侵害されたときにシステムが重大な脅威にさらされる可能性があります。
セキュリティに優先順位を付ける: システムを保護するには、最小限の特権アカウントを使用してセルフホステッドエージェントを実行します。たとえば、お使いのマシンのアカウントやマネージドサービス ID を使用してください。また、Azure Pipelines がシークレットと環境へのアクセスを処理できるようにすることもお勧めします。

演習 1: エージェントを作成し、エージェントプールを構成する

この演習では、Azure 仮想マシン (VM) を作成し、それを使ってエージェントを作成し、エージェントプールを構成します。

タスク 1:Azure VM を作成して接続する

ブラウザーで Azure Portal (https://portal.azure.com) を開きます。プロンプトが表示されたら、Azure サブスクリプションの所有者ロールを持つアカウントを使ってサインインします。
[リソース、サービス、ドキュメントの検索 (G+/)] ボックスに「Virtual Machines」と入力し、ドロップダウンリストからそれを選びます。
[作成] ボタンを選択します。
[構成が事前設定された Azure 仮想マシン] を選びます。
ワークロード環境として [Dev/Test] を選び、ワークロードの種類として [汎用] を選びます。

[VM の作成を続行する] ボタンを選び、[基本] タブで次の操作を実行し、[管理] を選びます。

設定	アクション
[サブスクリプション] ドロップダウンリスト	Azure サブスクリプションを選択します。
[リソースグループ] セクション	rg-eshoponweb-agentpool という名前の新しいリソースグループを作成します。
[仮想マシン名] テキストボックス	任意の名前を入力します (たとえば、eshoponweb-vm)。
[リージョン] ドロップダウンリスト	最も近い azure リージョンを選択できます。たとえば、”eastus”、”eastasia”、”westus” などです。
[可用性のオプション] ドロップダウンリスト	[インフラストラクチャ冗長は必要ありません] を選択します。
[セキュリティの種類] ドロップダウンリスト	[トラステッド起動の仮想マシン] オプションを選びます。
[イメージ] ドロップダウンリスト	Windows Server 2022 Datacenter: Azure Edition - x64 Gen2 イメージを選びます。
[サイズ] ドロップダウンリスト	テスト目的の場合は最も安価な [Standard] サイズを選びます。
[ユーザー名] テキストボックス	任意のユーザー名を入力します
[パスワード] テキストボックス	任意のパスワードを入力します
[パブリック受信ポート] セクション	[選択したポートを許可する] を選択します。
[受信ポートを選択] ドロップダウンリスト	[RDP (3389)] を選択します。

[管理] タブの [ID] セクションで、[システム割り当てマネージド ID の有効化] チェックボックスをオンにし、[確認および作成] を選びます。
[確認および作成] タブで、 [作成] を選択します。

注:プロビジョニングプロセスが完了するまで待ちます。これには 2 分ほどかかります。
Azure portal で、新しく作成された Azure VM の構成が表示されるページに移動します。
Azure VM ページで、[接続] を選択し、ドロップダウンメニューで、[接続] を選択し、次に [RDP ファイルのダウンロード] を選択します。
ダウンロードした RDP ファイルを使用して、Azure VM で実行されているオペレーティングシステムへのリモートデスクトップセッションを確立します。

タスク 2:エージェントプールを作成する

Azure VM へのリモートデスクトップセッションで、Microsoft Edge Web ブラウザーを起動します。
Web ブラウザーで Azure DevOps ポータル (https://aex.dev.azure.com) に移動し、サインインして組織にアクセスします。

注: 初めて Azure DevOps ポータルにアクセスする場合は、プロファイルの作成が必要になる場合があります。
eShopOnWeb プロジェクトを開き、左側の下部メニューから [プロジェクトの設定] を選びます。
[パイプライン] > [エージェントプール] で、[プールの追加] を選びます。
プールのタイプとして [セルフホステッド] を選びます。
エージェントプールの名前 (eShopOnWebSelfPool など) を指定し、オプションの説明を追加します。
[すべてのパイプラインにアクセス権を付与する] オプションをオフにします。

注: 運用環境では、すべてのパイプラインにアクセス許可を付与することは推奨されません。このラボでは、パイプラインの構成を簡略化するためにのみ使用されます。
[作成] を選び、エージェントプールを作成します。

タスク 3:エージェントのインストールファイルをダウンロードして展開する

Azure DevOps ポータルで、新しく作成したエージェントプールを選び、[エージェント] タブを選びます。
[新しいエージェント] を選び、新しいポップアップウィンドウの [エージェントのダウンロード] から [ダウンロード] を選びます。

注: インストール手順に従ってエージェントをインストールし、ファイル名にあるダウンロードしたバージョンをメモしてください (例: vsts-agent-win-x64-3.246.0.zip)
PowerShell セッションを開始し、次のコマンドを実行して agent というフォルダーを作成します。
```
mkdir agent ; cd agent        
```
注: エージェントをインストールするフォルダー (C:\agent など) を開いていることを確認します。
次のコマンドを実行し、ダウンロードしたエージェントインストーラーファイルの内容を抽出します。
```
Add-Type -AssemblyName System.IO.Compression.FileSystem ; [System.IO.Compression.ZipFile]::ExtractToDirectory("$HOME\Downloads\vsts-agent-win-x64-3.246.0.zip", "$PWD")
```
注: エージェントを別の場所にダウンロードした場合 (またはダウンロードしたバージョンが異なる場合) は、上記のコマンドを適宜調整してください。

タスク 4:PAT トークンを作成する

注: エージェントを構成する前に、PAT トークンを作成する必要があります (既存のものがない場合)。 PAT トークンを作成するには、以下の手順を実行します。

Azure VM へのリモートデスクトップセッション内で、別のブラウザー画面を開き、https://aex.dev.azure.com の Azure DevOps ポータルに移動して、組織とプロジェクトにアクセスします。
右側の上部メニュー (ユーザーのアバターアイコンのすぐ左) から [ユーザー設定] を選びます。
[個人用アクセストークン] メニュー項目を選びます。
[新しいトークン] を選びます。
トークンの名前を指定します (eShopOnWebToken など)。
トークンを使う Azure DevOps 組織を選びます。
トークンの有効期限を設定します (エージェントの構成にのみ使用されます)。
カスタム定義されたスコープを選択します。
すべてのスコープを表示する場合に選択します。
エージェントプール (読み取りおよび管理) スコープを選択します。
[作成] を選び、トークンを作成します。
トークンの値をコピーし、安全な場所に保存します (再度表示することはできません。再生成できるのはトークンだけです)。

[!IMPORTANT] 最小限の特権オプションである [エージェントプール (読み取り、管理)] は、エージェントの構成にのみ使います。また、それがトークンの唯一の目的である場合は、トークンには必ず最短の有効期限を設定してください。エージェントを再度構成する必要がある場合は、同じ特権を持つ別のトークンを作成できます。

タスク 5:エージェントの構成

Azure VM へのリモートデスクトップセッション内で、PowerShell ウィンドウに戻ります。必要に応じて、現在のディレクトリを、この演習で先ほどエージェントインストールファイルを抽出したディレクトリに変更します。
エージェントを無人で実行するように構成するには、次のコマンドを呼び出します。
```
.\config.cmd
```
注: エージェントを対話形式で実行する場合は、代わりに .\run.cmd を使用します。
エージェントを構成するには、プロンプトが表示されたら次のアクションを実行します。
- Azure DevOps 組織の URL (サーバー URL) を https://aex.dev.azure.com{お客様の組織名} 形式で入力します。
- 既定の認証の種類 (PAT) をそのまま使います。
- 前の手順で作成した PAT トークンの値を入力します。
- この演習で先ほど作成したエージェントプール名 eShopOnWebSelfPool を入力します。
- エージェント名 eShopOnWebSelfAgent を入力します。
- 既定のエージェント作業フォルダー (_work) をそのまま使います。
- 「Y」と入力して、エージェントがサービスとして実行されるように構成します。
- 「Y」と入力して、エージェントサービスの SERVICE_SID_TYPE_UNRESTRICTED を有効にします。
- 「NT AUTHORITY\SYSTEM」と入力して、サービスのセキュリティコンテキストを設定します。
[!IMPORTANT] 一般にサービスセキュリティコンテキストを構成するときは、最小限の特権の原則に従うようにします。
- 既定のオプション (N) のままにして、構成の完了後すぐにサービスを開始できるようにします。
注: エージェントの構成プロセスが完了するまでに数分かかります。完了すると、エージェントがサービスとして実行されていることを示すメッセージが表示されます。

[!IMPORTANT] エージェントが実行されていないことを示すエラーメッセージが表示された場合は、サービスを手動で開始することが必要な場合があります。これを行うには、Windows のコントロールパネルでサービス アプレットを開き、Azure DevOps Agent (eShopOnWebSelfAgent) という名前のサービスを見つけて起動します。

[!IMPORTANT] エージェントの起動に失敗した場合は、エージェントの作業ディレクトリに別のフォルダーを選択することが必要な場合があります。これを行うには、エージェント構成スクリプトを再実行し、別のフォルダーを選択します。
Azure DevOps ポータルを表示している Web ブラウザーに切り替え、エージェントプールに移動し、[エージェント] タブをクリックして、エージェントの状態を確認します。一覧に新しいエージェントが表示されます。

注: Windows エージェントの詳細については、「セルフホステッド Windows エージェント」をご覧ください。

[!IMPORTANT] エージェントが Azure DevOps パイプラインから Azure リソースをビルドしてデプロイできるようにするには (今後のラボで手順を実行します)、エージェントをホストしている Azure VM のオペレーティングシステム内に Azure CLI をインストールする必要があります。
Web ブラウザーを起動し、[Windows に Azure CLI をインストールする] ページに移動します。
Azure CLI をダウンロードしてインストールします。
(省略可能) 必要に応じて、次の PowerShell コマンドを実行して Azure CLI をインストールします。
```
$ProgressPreference = 'SilentlyContinue'; Invoke-WebRequest -Uri https://aka.ms/installazurecliwindows -OutFile .\AzureCLI.msi; Start-Process msiexec.exe -Wait -ArgumentList '/I AzureCLI.msi /quiet'; Remove-Item .\AzureCLI.msi
```
注: 別のバージョンの Azure CLI を使用している場合は、それに応じて上記のコマンドの調整が必要になる場合があります。
Web ブラウザーで、https://dotnet.microsoft.com/en-us/download/dotnet/thank-you/sdk-8.0.403-windows-x64-installer の Microsoft .NET 8.0 SDK インストーラーページに移動します。

[!IMPORTANT] エージェントをホストしている Azure VM に .NET 8.0 SDK (またはそれ以降) をインストールする必要があります。これは、今後のラボで eShopOnWeb アプリケーションをビルドするために必要です。アプリケーションのビルドに必要なその他のツールまたは SDK も、Azure VM にインストールする必要があります。
Microsoft .NET 8.0 SDK をダウンロードしてインストールします。

演習 2:エージェントプールのセキュリティを作成して構成する

この演習では、エージェントプールのセキュリティを構成します。

タスク 1: 新しいセキュリティグループを作成する

Azure VM へのリモートデスクトップセッション内で、Azure DevOps ポータルを表示している Web ブラウザーの [プロジェクトの設定] ペインの [全般] セクションにある [アクセス許可] を選択します。
[新しいグループ] を選びます。
グループの名前を指定します (eShopOnWeb セキュリティグループなど)。
[作成] を選び、グループを作成します。

タスク 2: セキュリティグループを構成する

Azure Devops ポータルを表示している Web ブラウザーウィンドウで、新しいグループを選び、その [アクセス許可] タブを表示します。
そのグループに対する不要なアクセス許可を拒否します。たとえば、[チームプロジェクトの名前変更]、[作業項目を完全に削除]、その他のアクセス許可 (エージェントプールに対してのみ使われる想定なので、そのグループに付与したくないもの) です。

[!IMPORTANT] グループに付与したくないアクセス許可を残しておくと、エージェントで実行されているスクリプトまたはタスクは、グループのアクセス許可を使用して、実行してほしくないアクションを実行できます。

タスク 3:エージェントプールのアクセス許可を管理する

このタスクでは、エージェントプールのアクセス許可を管理します。

Azure Devops ポータルを表示している Web ブラウザーウィンドウで、eShopOnWeb プロジェクトの [プロジェクトの設定] にある [パイプライン] セクションで [エージェントプール] を選びます。
eShopOnWebSelfPool エージェントプールを選びます。
エージェントプールの詳細ビューで、[セキュリティ] タブを選びます。
[追加] を選び、新しいグループ、eShopOnWeb セキュリティグループをエージェントプールのユーザーのアクセス許可に追加します。
エージェントプール閲覧者、ユーザー、管理者など、ユーザーまたはグループに適したロールを選びます。この場合は、ユーザーを選びます。
[追加] を選んでアクセス許可を適用します。

これで、パイプラインでエージェントプールを安全に使用する準備ができました。新しいグループを使用して、ユーザーを追加したり、エージェントプールのアクセス許可を管理したりできます。エージェントがパイプラインのみを実行するのに必要なアクセス許可を持つように、新しいグループを使用してインストールされたセルフホステッドエージェントを再構成することができます。たとえば、グループにユーザーを追加し、そのユーザーとして実行するようにエージェントを構成できます。

エージェントプールの詳細については、「エージェントプール」をご覧ください。

[!IMPORTANT] 不要な料金が発生しないように、Azure portal で作成されたリソースを必ず削除してください。

確認

このラボでは、Azure DevOps セルフホステッドエージェントとエージェントプールを構成し、それらのプールのアクセス許可を管理する方法について学習します。アクセス許可を効果的に管理することで、DevOps プロセスのセキュリティと整合性を維持しながら、適切なユーザーが必要なリソースにアクセスできるようにすることができます。

セキュリティで保護されたパイプライン用にエージェントとエージェント プールを構成する

開始する前に

手順

演習 1: エージェントを作成し、エージェント プールを構成する

タスク 1:Azure VM を作成して接続する

タスク 2:エージェント プールを作成する

タスク 3:エージェントのインストール ファイルをダウンロードして展開する