安全模板

代理日志记录命令限制

用户通过使用 日志记录命令来请求服务，这些命令是打印到标准输出的特制字符串。 可以限制日志记录命令为用户步骤提供的服务。 在 restricted 模式下，大多数代理服务（例如上传项目和附加测试结果）都不适用于日志记录命令。

在下面的示例中，该 target 属性指示代理限制发布项目，因此项目发布任务失败。

- task: PublishBuildArtifacts@1
  inputs:
    artifactName: myartifacts
  target:
    commands: restricted

日志记录命令中的变量

该 setvariable 命令在 restricted 模式下仍然允许，因此输出用户提供的数据的任务（如通过 REST API 检索的开放问题）可能容易受到注入攻击。 恶意用户内容可以将导出到后续任务的变量设置为环境变量，并可能危及代理主机。

若要缓解此风险，可以使用日志记录命令显式声明可设置的 setvariable 变量。 如果指定了空列表 settableVariables，则不允许任何变量设置。

以下示例将settableVariables限制为expectedVar以及任何以ok为前缀的变量。 任务失败，因为它尝试设置名为 BadVar 的其他变量。

- task: PowerShell@2
  target:
    commands: restricted
    settableVariables:
    - expectedVar
    - ok*
  inputs:
    targetType: 'inline'
    script: |
      Write-Host "##vso[task.setvariable variable=BadVar]myValue"

条件阶段或作业执行

可以限制阶段和作业仅在特定条件下运行。 以下示例确保仅针对 main 分支生成受限代码。

jobs:
- job: buildNormal
  steps:
  - script: echo Building the normal, unsensitive part
- ${{ if eq(variables['Build.SourceBranchName'], 'refs/heads/main') }}:
  - job: buildMainOnly
    steps:
    - script: echo Building the restricted part that only builds for main branch

语法修改

Azure Pipelines 模板可以灵活地循环访问和修改 YAML 语法。 通过使用迭代，可以强制实施特定的 YAML 安全功能。

模板还可以重写用户步骤，仅允许已批准的任务运行。 例如，模板可以阻止内联脚本执行。

以下示例模板阻止脚本步骤类型bash、powershellpwsh和script运行。 若要完全锁定脚本，还可以阻止 BatchScript 和 ShellScript。

# template.yml
parameters:
- name: usersteps
  type: stepList
  default: []
steps:
- ${{ each step in parameters.usersteps }}:
  - ${{ if not(or(startsWith(step.task, 'Bash'),startsWith(step.task, 'CmdLine'),startsWith(step.task, 'PowerShell'))) }}:  
    - ${{ step }}
  # The following lines replace tasks like Bash@3, CmdLine@2, PowerShell@2
  - ${{ else }}:  
    - ${{ each pair in step }}:
        ${{ if eq(pair.key, 'inputs') }}:
          inputs:
            ${{ each attribute in pair.value }}:
              ${{ if eq(attribute.key, 'script') }}:
                script: echo "Script removed by template"
              ${{ else }}:
                ${{ attribute.key }}: ${{ attribute.value }}
        ${{ elseif ne(pair.key, 'displayName') }}:
          ${{ pair.key }}: ${{ pair.value }}

          displayName: 'Disabled by template: ${{ step.displayName }}'

在扩展上述模板的以下示例管道中，脚本步骤会剥离出来，并且不会运行。

# azure-pipelines.yml
extends:
  template: template.yml
  parameters:
    usersteps:
    - task: MyTask@1
    - script: echo This step is stripped out and not run
    - bash: echo This step is stripped out and not run
    - powershell: echo "This step is stripped out and not run"
    - pwsh: echo "This step is stripped out and not run"
    - script: echo This step is stripped out and not run
    - task: CmdLine@2
      displayName: Test - stripped out
      inputs:
        script: echo This step is stripped out and not run
    - task: MyOtherTask@2

模板步骤

模板可以自动在管道中包含步骤，例如执行凭据扫描或静态代码检查。 以下模板在每个作业中的用户步骤之前和之后插入步骤。

parameters:
  jobs: []

jobs:
- ${{ each job in parameters.jobs }}: 
  - ${{ each pair in job }}:  
      ${{ if ne(pair.key, 'steps') }}:
        ${{ pair.key }}: ${{ pair.value }}
    steps:                            
    - task: CredScan@1 
    - ${{ job.steps }} 
    - task: PublishMyTelemetry@1 
      condition: always()