问在Azure上与防火墙后面的Terraform资源交互
EN

Stack Overflow用户

提问于 2020-12-28 00:15:26

回答 1查看 867关注 0票数 0

这个挑战涉及Azure和Azure DevOps，但我可以想象这种情况发生在类似的平台上(AWS、GCP、Github、Gitlab等)。

我目前正在使用Azure DevOps管道，但是我面临着与防火墙后面的资源交互的问题(无论是IP限制的还是虚拟网络限制的)。当Azure管道推出一个新的VM时，它要求我在每次运行时为新开发的机器提供公共IP的白名单。当我创建Azure管道作为可再现的子模块，从一个项目中扩展模板并在多个项目中使用时，这个白名单是非常简陋的。Terraform状态需要访问受限资源上的配置，从而引发拒绝访问的消息。

我研究了以下几点，以解决这些挑战和我对这些挑战的想法：

实现Azure虚拟机规模集代理而不是微软托管代理(https://learn.microsoft.com/en-us/azure/devops/pipelines/agents/scale-set-agents?view=azure-devops).
- 这需要与我们的安全团队进行长时间的讨论，因为他们不喜欢在云中使用虚拟机。
使用负载均衡器和白名单的静态公共IP在AKS上部署亚特兰蒂斯，这是一个IP (https://learn.microsoft.com/en-us/azure/aks/static-ip)。
- 这将需要从我这方面进行一些初步的设置，因为我找不到关于使用Azure (AKS)和Azure DevOps部署这个程序的大量文档。(找到本文：https://engineering.plex.com/posts/deploying-infrastructure-azure/和这个视频使用Github channel=JJAsghar。在AWS上部署亚特兰蒂斯的Terraform模块：https://github.com/terraform-aws-modules/terraform-aws-atlantis)
使用Terraform进行基础设施部署，并使用白名单(https://www.terraform.io/docs/cloud/api/ip-ranges.html)。
- 这将需要引入一个新的基础设施供应平台。
做一个巨大的白名单阶段，白名单每个资源从我的，取决于在管道中使用的模块(维护非常麻烦)。
- 这将需要太多的维护，似乎不是最好的解决方案。

你对解决这个挑战有什么想法？

azure

azure-devops

terraform

pipeline

firewall

回答 1

Stack Overflow用户

发布于 2020-12-28 19:14:44

您可以使用脚本获取云代理的ip。并使用azure PowerShel或Azure动态地为您的Azure存储帐户列出ip地址。见下面的例子：

1 .在Azure管道中，在Terraform任务之前添加azure Powershell任务，以获取代理的ip地址，并为azure存储帐户添加白名单。

- task: AzurePowerShell@5
  displayName: 'Azure PowerShell script: InlineScript copy'
  inputs:
    azureSubscription: 'Microsoft-Azure'
    ScriptType: InlineScript
    Inline: |
     $ip = Invoke-RestMethod http://ipinfo.io/json | Select -exp ip #get agent ip
     #add ip to whitelist
     Add-AzStorageAccountNetworkRule -ResourceGroupName "myresourcegroup" -AccountName "mystorageaccount" -IPAddressOrRange $ip

    azurePowerShellVersion: LatestVersion

2 .在管道的末尾添加另一个蔚蓝的powershell任务，以删除白名单。

- task: AzurePowerShell@5
  displayName: 'Azure PowerShell script: InlineScript copy'
  inputs:
    azureSubscription: 'Microsoft-Azure'
    ScriptType: InlineScript
    Inline: |
     $ip = Invoke-RestMethod http://ipinfo.io/json | Select -exp ip
     
     Remove-AzStorageAccountNetworkRule -ResourceGroupName "myresourcegroup" -AccountName "mystorageaccount" -IPAddressOrRange $ip

    azurePowerShellVersion: LatestVersion