パラメーターとシークレット

プロジェクトのシークレットとパラメーターを定義するには

1. 目的のプロジェクトを開きます。

2. プロジェクトのサイドバーメニューで、設定を選択し、次にシークレットとパラメーターを選択します。

3. 作成をクリックし、シークレットまたはパラメーターを選択します。

4. 指定

   • キー : パラメーター名。この名前を使用して、スクリプト内でこのパラメーターを参照します。

   • 値 : パラメーター値。

   制限:

   • シークレットとパラメーターは、特定のプロジェクトのスコープ内にのみ存在します。1 つのプロジェクトでシークレットまたはパラメーターを作成した場合、他のプロジェクトで使用することはできません。

   • シークレットとパラメーターのキーはプロジェクト内で一意である必要があります。同じキーを持つシークレットとパラメーターも許可されません。

   • キーは 128 文字以下である必要があり、英数字 ([a-z]、[A-Z]、[0-9])、ダッシュ (-)、またはアンダースコア (_) のみを含めることができます。

   • シークレットまたはパラメーターの値の最大サイズは 30KB です。すべてのコンテナー引数、環境変数、シークレット、パラメーターの最大合計サイズも 30KB に制限されることに注意してください。例: 30KB のシークレットと 1KB の引数をステップに指定すると、ステップは失敗します。

プロジェクトのシークレットとパラメーターを使用するには

1. ルールに従う:

   • プロジェクトパラメーターまたはシークレットを取得するには、そのキーの前に project: プレフィックス "{{ project:param-key }}" を付けて使用します。

   • シークレットは job.parameters、job.container.env、job.container.shellScript.args、job.container.args ブロック内でのみ取得できます (同じことは、対応するすべての job.host ブロックを指します)。

   例:

   job("Use project params") { // E.g., a parameter and a secret // 'bintray-repo-url' and 'bintray-repo-password' // exist in the project settings parameters { // you can assign project secrets and params to configured params text("url", value = "{{ project:bintray-repo-url }}") secret("password", value = "{{ project:bintray-repo-password }}") } // Get project parameter values in a shell script container(displayName = "Print param value shell", image = "ubuntu") { env["URL"] = "{{ project:bintray-repo-url }}" // The only way to get a secret in a shell script is an env variable env["PSWRD"] = "{{ project:bintray-repo-password }}" shellScript { content = """ echo "Url from conf param - {{ url }}" echo "Url from env var - ${'$'}URL" echo "Password from env var - ${'$'}PSWRD" echo "Url from project param directly - {{ project:bintray-repo-url }}" # It's not possible to directly reference secrets from a shell script. # The next commented lines would fail. # echo "Password from conf param - {{ password }}" # echo "Password from project param - {{ project:bintray-repo-password }}" """ // Output: // Url from conf param - http://example.com // Url from env var - http://example.com // Password from env var - ***** // Url from project param directly - http://example.com } } // Get project parameter values in a Kotlin script container(displayName = "Print param value kotlin", image = "amazoncorretto:17-alpine") { env["URL"] = "{{ project:bintray-repo-url }}" env["PSWRD"] = "{{ project:bintray-repo-password }}" kotlinScript { api -> println("Url from env var - " + System.getenv("URL")) println("Url from API - " + api.parameters["url"]) println("Password from env var" + System.getenv("PSWRD")) // An advanced use case is the Ref class that holds a // reference to a secret or a parameter: // Ref("project:my-param").toString() == "{{ project:my-param }} // See the example below api.secrets["service-password"] = Ref("project:bintray-repo-password") println("Password from Ref" + api.secrets["service-password"]) // Output: // Url from env var - http://example.com // Url from env API - http://example.com // Password from env var - ***** // Password from Ref - ***** } } }

2. 特定のシークレットまたはパラメーターがどのジョブで使用されているかを確認するには、プロジェクト設定でシークレットとパラメーターを開き、目的のシークレットまたはパラメーターの横にある使用箇所の表示をクリックします。

   

Vault サーバーへの接続を設定するには

1. 目的のプロジェクトを開きます。

2. プロジェクトのサイドバーメニューで、設定を選択し、次にボールト接続を選択します。

3. 新規接続をクリックし、接続名前およびその他の設定を指定します。

   • ボールトの URL : https://vaultserver:port 形式の Vault サーバーの URL。

   • アプリロール ID および AppRole シークレット ID : Space が Vault サーバーにログインするために使用する資格情報(英語)。

   • パラメーターの名前空間 : (オプション) 追加の接続識別子。プロジェクトに複数の Vault 接続がある場合、パラメーターの名前空間を使用して、特定のパラメーターを解決するためにどの接続を使用する必要があるかを指定できます。

   • ボールトの名前空間 : (オプション) マルチテナント Vault 構成で使用されるボールトの名前空間(英語)。

4. 「接続のテスト」をクリックし、接続に成功したら「作成」をクリックします。

Vault パラメーターを作成するには

1. 目的のプロジェクトを開きます。

2. プロジェクトのサイドバーメニューで、設定を選択し、次にシークレットとパラメーターを選択します。

3. 作成をクリックし、ボールトパラメーターを選択します。

4. 指定

   • キー : 変数名。この名前を使用して、スクリプト内でこの変数を参照します。

   • パス : Key/Value v1 または v2 シークレットエンジン形式の Vault シークレットパス。例: /aws/sts/mysecret

   • フィールド : (オプション) フィールド名。シークレットに複数のフィールドがある場合は、オートメーションジョブで取得する値のフィールドを指定します。シークレットに複数のフィールドがあるが、フィールド名を指定しない場合、オートメーションは value という名前のフィールドを取得しようとします。

   • 名前空間 : (オプション) パラメーターを解決する必要がある Vault 接続の識別子。名前空間は、Vault 接続に指定されたパラメーターの名前空間と一致する必要があります。

5. 保存をクリックします。

ジョブで Vault パラメーターを使用するには

1. ルールに従う:

   • プロジェクトパラメーターまたはシークレットを取得するには、vault:namespace:/secret_path/field_name 形式を使用します。例:

     • vault:/secret/password : password という名前のフィールドが 1 つだけあるシークレットの値を取得します。

     • vault:/secret/credentials!/password : /secret/credentials! シークレットの password フィールドの値を取得します。

     • vault:/secret/json!/store.books[0].category : JSON オブジェクトとして保存されている /secret/json シークレット内の JsonPath 検索クエリ (ドット表記) に対応する値を取得します。

     • vault:/secret/json!/['store'].['books'][0].['category'] : JSON オブジェクトとして格納されている /secret/json シークレット内の JsonPath 検索クエリ (括弧表記) に対応する値を取得します。

     • vault:test:/secret/credentials!/password : test パラメーターの名前空間を使用した Vault 接続を使用して、/secret/credentials シークレットの password フィールドの値を取得します。

   • Vault パラメーターは job.parameters、job.container.env、job.container.shellScript.args、job.container.args ブロック内でのみ取得できます (同じことは、対応するすべての job.host ブロックを指します)。

   例:

   job("Build") { // reference `username` field of the `/secret/data/credentials!` secret // using the parameters block parameters { secret("username", "{{ vault:secret/data/credentials!/username }}") } container("ubuntu:latest") { // get Vault parameter directly env["PSWRD"] = "{{ vault:/secret/data/credentials!/password }}" // get Vault parameter from defined parameter env["USERNAME"] = "{{ username }}" shellScript { content = """ echo "Username from env var - ${'$'}USERNAME" echo "Password from env var - ${'$'}PSWRD" # It's not possible to directly reference secrets from a shell script. # The next commented lines would fail. # echo "Username from conf param - {{ username }}" """ } } }

2. 特定の Vault パラメーターがどのジョブで使用されているかを確認するには、プロジェクト設定でシークレットとパラメーターを開き、目的のパラメーターの横にある使用箇所の表示をクリックします。

1. プロジェクトに移動します。

2. サイドバーメニューで、ジョブを選択します。

3. ジョブを選択します。

4. ジョブ内のすべてのパラメーターを表示するには、「パラメーター」タブを開きます。

   特定のステップのパラメーターを表示するには、「ステップ」タブを開き、特定のステップを選択して、その「パラメーター」タブを開きます。