Tárolóalapú Python-alkalmazás üzembe helyezése az App Service-ben

Futtathat Azure CLI parancsokat a Azure Cloud Shell vagy egy helyi gépen, amelyen telepítve van a Azure CLI.

Key Vault létrehozása RBAC-hitelesítéssel

Az Azure Key Vault egy biztonságos szolgáltatás titkos kulcsok, API-kulcsok, kapcsolati sztringek és tanúsítványok tárolására. Ebben a szkriptben a MongoDB kapcsolati sztringet és a webalkalmazás SECRET_KEY elemét tárolja.

Konfigurálja a Key Vault szerepköralapú hozzáférés-vezérlés (RBAC) használatára, hogy a hagyományos hozzáférési szabályzatok helyett Azure szerepkörökön keresztül kezelje a hozzáférést. A webalkalmazás a rendszer által hozzárendelt felügyelt identitással kéri le a titkos kulcsokat biztonságosan futásidőben.

1. Az az keyvault create paranccsal hozzon létre egy Azure Key Vault, amelyen engedélyezve van az RBAC.

   • Erősen megüt
   • PowerShell

   #!/bin/bash
   RESOURCE_GROUP_NAME="msdocs-web-app-rg"
   LOCATION="westus"
   KEYVAULT_NAME="${RESOURCE_GROUP_NAME}-kv"
   
   az keyvault create \
     --name "$KEYVAULT_NAME" \
     --resource-group "$RESOURCE_GROUP_NAME" \
     --location "$LOCATION" \
     --enable-rbac-authorization true
   

Az App Service-csomag és a webalkalmazás létrehozása

Az App Service-csomag határozza meg a webalkalmazás számítási erőforrásait, tarifacsomagját és régióját. A webalkalmazás futtatja a tárolóalapú alkalmazást, és ki van építve egy rendszer által hozzárendelt felügyelt identitással, amellyel biztonságosan hitelesíthető Azure Container Registry (ACR) és Azure Key Vault.

Ebben a lépésben végezze el a következő feladatokat:

• App Service-csomag létrehozása
• A webalkalmazás létrehozása a felügyelt identitással
• A webalkalmazás konfigurálása üzembe helyezésre egy adott tárolórendszerkép használatával
• Felkészülés a folyamatos üzembe helyezésre az ACR-en keresztül

1. Használja az az appservice plan create parancsot az alkalmazás számítási környezetének kiépítéséhez.

   • Erősen megüt
   • PowerShell

   #!/bin/bash
   APP_SERVICE_PLAN_NAME="msdocs-web-app-plan"
   
   az appservice plan create \
       --name "$APP_SERVICE_PLAN_NAME" \
       --resource-group "$RESOURCE_GROUP_NAME" \
       --sku B1 \
       --is-linux
   

2. A webalkalmazás létrehozásához használja az az webapp create parancsot. Ez a parancs egy rendszer által hozzárendelt felügyelt identitást is lehetővé tesz, és beállítja az alkalmazás által futtatott tárolórendszerképet.

   • Erősen megüt
   • PowerShell

   #!/bin/bash
   APP_SERVICE_NAME="msdocs-website-name" #APP_SERVICE_NAME must be globally unique as it becomes the website name in the URL `https://<website-name>.azurewebsites.net`.
   # Use the same registry name as in part 2 of this tutorial series.
   REGISTRY_NAME="msdocscontainerregistryname" #REGISTRY_NAME is the registry name you used in part 2 of this tutorial.
   CONTAINER_NAME="$REGISTRY_NAME.azurecr.io/msdocspythoncontainerwebapp:latest" #CONTAINER_NAME is of the form "yourregistryname.azurecr.io/repo_name:tag".
   
   az webapp create \
     --resource-group "$RESOURCE_GROUP_NAME" \
     --plan "$APP_SERVICE_PLAN_NAME" \
     --name "$APP_SERVICE_NAME" \
     --assign-identity '[system]' \
     --deployment-container-image-name "$CONTAINER_NAME" 
   

   Jegyzet

   A parancs futtatásakor a következő hibaüzenet jelenhet meg:

   No credential was provided to access Azure Container Registry. Trying to look up...
   Retrieving credentials failed with an exception:'Failed to retrieve container registry credentials. Please either provide the credentials or run 'az acr update -n msdocscontainerregistryname --admin-enabled true' to enable admin first.'
   

   Ez a hiba azért fordul elő, mert a webalkalmazás rendszergazdai hitelesítő adatokkal próbál hozzáférni az ACR-hez, de a rendszergazdai hitelesítő adatok alapértelmezés szerint le vannak tiltva. Az üzenet biztonságosan figyelmen kívül hagyható. A következő lépés konfigurálja a webalkalmazást, hogy a felügyelt identitását használja az ACR-hitelesítéshez.

Key Vault titkos kulcsokért felelős tisztviselői szerepkör biztosítása hitelesített felhasználónak

Ha titkos kulcsokat szeretne tárolni az Azure Key Vaultban, a szkriptet futtató felhasználónak rendelkeznie kell a Key Vault titkos kulcskezelő szerepkörével. Ez a szerepkör engedélyt ad titkos kódok létrehozására és kezelésére a tárolóban.

Ebben a lépésben a szkript hozzárendeli ezt a szerepkört a jelenleg hitelesített felhasználóhoz. Ez a felhasználó ezután biztonságosan tárolhatja az alkalmazás titkos kulcsát, például a MongoDB kapcsolati sztringjét és az alkalmazás titkos kódját SECRET_KEY.

Ez a szerepkör-hozzárendelés a Key Vaulthoz kapcsolódó két szerepkör-hozzárendelés közül az első. Később a webalkalmazás rendszer által hozzárendelt felügyelt identitása hozzáférést kap a titkos kódok lekéréséhez a tárolóból.

Az Azure RBAC használatával biztosíthatja az identitáson alapuló biztonságos, naplózható hozzáférést, így nem kell szigorúan kódolt hitelesítő adatokat használnia.

1. Az az role assignment create paranccsal rendelje hozzá a szerepkört a Key Vault hatókörhöz.

   • Erősen megüt
   • PowerShell

   #!/bin/bash
   CALLER_ID=$(az ad signed-in-user show --query id -o tsv)
   echo $CALLER_ID # Verify this value retrieved successfully. In production, poll to verify this value is retrieved successfully.
   
   az role assignment create \
     --role "Key Vault Secrets Officer" \
     --assignee "$CALLER_ID" \
     --scope "/subscriptions/$(az account show --query id -o tsv)/resourceGroups/$RESOURCE_GROUP_NAME/providers/Microsoft.KeyVault/vaults/$KEYVAULT_NAME"
   
   

Webes hozzáférés biztosítása az ACR-hez felügyelt identitás használatával

A Azure Container Registry (ACR) rendszerképeinek biztonságos lekéréséhez konfigurálja a webalkalmazást a rendszer által hozzárendelt felügyelt identitás használatára. A felügyelt identitás használatával nincs szükség rendszergazdai hitelesítő adatokra, és támogathatja a biztonságos, hitelesítő adatok nélküli üzembe helyezést.

Ez a folyamat két fő műveletből áll:

• A webalkalmazás felügyelt identitásának engedélyezése az ACR elérésekor
• Az AcrPull-szerepkör hozzárendelése ehhez az identitáshoz a cél ACR-en

1. Ebben a lépésben kérje le a webalkalmazás felügyelt identitásának egyszerű azonosítóját (egyedi objektumazonosítóját) az az webapp identity show paranccsal. Ezután engedélyezze a felügyelt identitás használatát az ACR-hitelesítéshez úgy, hogy az acrUseManagedIdentityCreds tulajdonságot az true használatával értékre állítja be. Ezután rendelje hozzá az AcrPull-szerepkört a webalkalmazás felügyelt identitásához az az role assignment create paranccsal. Ez a szerepkör engedélyezi a webalkalmazásnak, hogy képeket kérjen le a beállításjegyzékből.

   • Erősen megüt
   • PowerShell

   #!/bin/bash
   PRINCIPAL_ID=$(az webapp identity show \
     --name "$APP_SERVICE_NAME" \
     --resource-group "$RESOURCE_GROUP_NAME" \
     --query principalId \
     -o tsv)
   echo $PRINCIPAL_ID # Verify this value retrieved successfully. In production, poll for successful 'AcrPull' role assignment using `az role assignment list`.    
   
   az webapp config set \
     --resource-group "$RESOURCE_GROUP_NAME" \
     --name "$APP_SERVICE_NAME" \
     --generic-configurations '{"acrUseManagedIdentityCreds": true}'
   
   az role assignment create \
   --role "AcrPull" \
   --assignee "$PRINCIPAL_ID" \
   --scope "/subscriptions/$(az account show --query id -o tsv)/resourceGroups/$RESOURCE_GROUP_NAME/providers/Microsoft.ContainerRegistry/registries/$REGISTRY_NAME"
   
   

Kulcstartó-hozzáférés biztosítása a webalkalmazás felügyelt identitásához

A webalkalmazásnak engedélyre van szüksége olyan titkos kódok eléréséhez, mint a MongoDB kapcsolati sztring és a SECRET_KEY. Az engedélyek megadásához rendelje hozzá a Key Vault Titkos kulcsok felhasználói szerepkört a webalkalmazás rendszer által hozzárendelt felügyelt identitásához.

1. Ebben a lépésben a webalkalmazás rendszer által hozzárendelt felügyelt identitásának egyedi azonosítóját (principal ID) használja arra, hogy a az role assignment create paranccsal a Key Vault Secrets User szerepkörrel hozzáférést adjon a webalkalmazásnak a Key Vaulthoz.

   • Erősen megüt
   • PowerShell

   #!/bin/bash
   
   az role assignment create \
   --role "Key Vault Secrets User" \
   --assignee "$PRINCIPAL_ID" \
   --scope "/subscriptions/$(az account show --query id -o tsv)/resourceGroups/$RESOURCE_GROUP_NAME/providers/Microsoft.KeyVault/vaults/$KEYVAULT_NAME"
   

Titkos kulcsok tárolása a Key Vaultban

Az alkalmazásban lévő titkos adatok hardkódolásának elkerülése érdekében tárolja a MongoDB-kapcsolati sztringet és a webalkalmazás titkos kulcsát az Azure Key Vaultban. A webalkalmazás biztonságosan elérheti ezeket a titkos kulcsokat futtatókörnyezetben a felügyelt identitásán keresztül, így nem kell a hitelesítő adatokat kódban vagy konfigurációban tárolnia.

1. A MongoDB kapcsolati karakterlánc az az cosmosdb keys list paranccsal kérhető le. Ezután az az keyvault secret set paranccsal tárolja mind a kapcsolati sztringet, mind a véletlenszerűen létrehozott titkos kulcsot a Key Vaultban.

   • Erősen megüt
   • PowerShell

   #!/bin/bash
   ACCOUNT_NAME="msdocs-cosmos-db-account-name"
   
   MONGO_CONNECTION_STRING=$(az cosmosdb keys list \
     --name "$ACCOUNT_NAME" \
     --resource-group "$RESOURCE_GROUP_NAME" \
     --type connection-strings \
     --query "connectionStrings[?description=='Primary MongoDB Connection String'].connectionString" -o tsv)
   
   SECRET_KEY=$(openssl rand -base64 32 | tr -dc 'a-zA-Z0-9')
   # This key is cryptographically secure, using OpenSSL’s strong random number generator.
   
   az keyvault secret set \
     --vault-name "$KEYVAULT_NAME" \
     --name "MongoConnectionString" \
     --value "$MONGO_CONNECTION_STRING"
   
   az keyvault secret set \
     --vault-name "$KEYVAULT_NAME" \
     --name "MongoSecretKey" \
     --value "$SECRET_KEY"
   

Webalkalmazás konfigurálása Key Vault titkos kódok használatára

A titkos kódok futásidőben történő biztonságos eléréséhez konfigurálja a webalkalmazást, hogy hivatkozzon a Azure Key Vault tárolt titkos kódokra. A Key Vault hivatkozásokkal a titkos értékeket a rendszer által hozzárendelt felügyelt identitáson keresztül injektálhatja az alkalmazás környezetébe.

Ez a megközelítés elkerüli a titkos kódok korlátozását, és lehetővé teszi, hogy az alkalmazás biztonságosan lekérje az olyan bizalmas értékeket, mint a MongoDB kapcsolati sztring és a titkos kulcs a végrehajtás során.

1. Az az webapp config appsettings set paranccsal olyan alkalmazásbeállításokat adhat hozzá, amelyek a Key Vault titkos kulcsokra hivatkoznak. Pontosabban állítsa be a MongoConnectionString és MongoSecretKey alkalmazásbeállításokat úgy, hogy azok a Key Vaultban tárolt megfelelő titkos kulcsokra hivatkozzanak.

   • Erősen megüt
   • PowerShell

   #!/bin/bash
   MONGODB_NAME="restaurants_reviews"
   MONGODB_COLLECTION_NAME="restaurants_reviews"
   
   az webapp config appsettings set \
     --resource-group "$RESOURCE_GROUP_NAME" \
     --name "$APP_SERVICE_NAME" \
     --settings \
         CONNECTION_STRING="@Microsoft.KeyVault(SecretUri=https://$KEYVAULT_NAME.vault.azure.net/secrets/MongoConnectionString)" \
         SECRET_KEY="@Microsoft.KeyVault(SecretUri=https://$KEYVAULT_NAME.vault.azure.net/secrets/MongoSecretKey)" \
         DB_NAME="$MONGODB_NAME" \
         COLLECTION_NAME="$MONGODB_COLLECTION_NAME"
   

Folyamatos üzembe helyezés engedélyezése az ACR-ből

Ha engedélyezi a folyamatos üzembe helyezést, a webalkalmazás automatikusan lekéri és futtatja a legújabb tárolórendszerképet, amikor leküld egyet Azure Container Registry (ACR). Ez a funkció csökkenti a manuális üzembe helyezés lépéseit, és biztosítja, hogy az alkalmazás naprakész maradjon.

1. Az az webapp deployment container config paranccsal engedélyezheti a folyamatos üzembe helyezést az ACR-ből a webalkalmazásba.

   • Erősen megüt
   • PowerShell

   #!/bin/bash
   az webapp deployment container config \
     --name "$APP_SERVICE_NAME" \
     --resource-group "$RESOURCE_GROUP_NAME" \
     --enable-cd true
   

ACR-webhook regisztrálása folyamatos üzembe helyezéshez

Az üzembe helyezés automatizálásához regisztráljon egy webhookot az Azure Container Registryben (ACR), amely értesíti a webalkalmazást, amikor új tárolórendszerképet küld le. A webhook használatával az alkalmazás automatikusan lekéri és futtatja a legújabb verziót.

A Azure Container Registry (ACR) által konfigurált webhook POST-kérést küld a webalkalmazás SCM-végpontjának (SERVICE_URI), amikor új rendszerképet küld az msdocspythoncontainerwebapp adattárba. Ez a művelet elindítja a webalkalmazást a frissített rendszerkép lekéréséhez és üzembe helyezéséhez, és befejezi a folyamatos üzembe helyezési folyamatot az ACR és az Azure App Service között.

1. Az az acr webhook create paranccsal regisztrálhatja a webhookot, és beállíthatja úgy, hogy push események hatására aktiválódjon.

   • Erősen megüt
   • PowerShell

   #!/bin/bash
   CREDENTIAL=$(az webapp deployment list-publishing-credentials \
       --resource-group "$RESOURCE_GROUP_NAME" \
       --name "$APP_SERVICE_NAME" \
       --query publishingPassword --output tsv)
   # Web app publishing credentials may not be available immediately. In production, poll until non-empty.   
   
   SERVICE_URI="https://$APP_SERVICE_NAME:$CREDENTIAL@$APP_SERVICE_NAME.scm.azurewebsites.net/api/registry/webhook"
   
   az acr webhook create \
     --name webhookforwebapp \
     --registry "$REGISTRY_NAME" \
     --scope msdocspythoncontainerwebapp:* \
     --uri "$SERVICE_URI" \
     --actions push
   
   

Tallózás a webhelyen

Annak ellenőrzéséhez, hogy a webalkalmazás fut-e, nyissa meg a https://<website-name>.azurewebsites.net-t, és cserélje le a <website-name> helyére az App Service nevét. Nézd meg az étteremértékelő mintapéldány alkalmazást. Az első betöltése eltarthat néhány percig.

A webhely megjelenése után próbáljon meg hozzáadni egy éttermet, és küldjön be egy felülvizsgálatot annak ellenőrzéséhez, hogy az alkalmazás megfelelően működik-e.

Ha helyileg használja a Azure CLI, az az webapp browse paranccsal nyissa meg a webhelyet az alapértelmezett böngészőben:

az webapp browse --name $APP_SERVICE_NAME --resource-group $RESOURCE_GROUP_NAME

A Visual Studio Code Docker-bővítményével létrehozhatja és üzembe helyezheti a tárolóalapú webalkalmazást az Azure App Service-ben. Ez a bővítmény leegyszerűsíti az alkalmazás csomagolásának és a felhőbe való küldésének folyamatát. Az üzembe helyezést követően az Azure Tools bővítmény használatával konfigurálhatja a webalkalmazás beállításait, beleértve a MongoDB kapcsolati sztringjét és az alkalmazás titkos kulcsát.

Először konfigurálja és tesztelje az alkalmazást kemény kódolt értékekkel, hogy biztosan elinduljon, és sikeresen csatlakozzon a MongoDB-adatbázishoz. Az alkalmazás működésének ellenőrzése után az Azure CLI használatával (helyileg vagy a Cloud Shellben) hozzon létre egy Azure Key Vaultot. Ezután adjon engedélyt az alkalmazást a VS Code-ban létrehozó felhasználónak a bizalmas információk tárolására, majd tárolja a MongoDB kapcsolati karakterlánc és az alkalmazás titkos kulcsát Key Vault titkos kulcsként.

Végül a Visual Studio Code-ban frissítse a webalkalmazás alkalmazásbeállítását, hogy hivatkozzon a Key Vaultban tárolt titkos kódokra. Az alkalmazás mostantól biztonságosan hozzáférhet a konfigurációs értékekhez anélkül, hogy közvetlenül kódba ágyazta őket.

A webalkalmazás létrehozása

Ezekhez a lépésekhez telepíteni kell a VS Code Docker-bővítményét .

1. Frissítse az Azure Container Registryt a Docker-bővítményben, hogy ellenőrizze, hogy a létrehozott tároló megjelenik-e a Docker-bővítmény REGISTRIES szakaszában. Ha nem, kattintson a jobb gombbal a beállításjegyzék nevére, és válassza a Frissítéslehetőséget.

   

2. Válassza F1 vagy CTRL+SHIFT+P billentyűkombinációt a parancskatalógus megnyitásához, írja be a "Docker Registries" kifejezést, majd válassza ki a Docker-adatbázisokat: Rendszerkép üzembe helyezése az Azure App Service-ben... feladat.

3. Adja meg a következő értékeket a rendszerkép üzembe helyezésére vonatkozó kérésnek megfelelően:

   • Beállításjegyzék-szolgáltató kiválasztása: Azure
   • Előfizetés: Válassza ki a korábban létrehozott Azure Container Registryt tartalmazó előfizetést.
   • Beállításjegyzék kiválasztása: Adja meg az oktatóanyag korábbi részében létrehozott beállításjegyzék nevét.
   • Válassza ki az adattárat: Adja meg az msdocscontainerregistryname adattárnevet. Ha nem látja ezt az adattárat, frissítse a Docker-bővítmény REGISTRIES szakaszát.
   • Válassza ki a címkét: legújabb a képcímkéhez.
   • Adjon meg egy globálisan egyedi nevet a webalkalmazásnak: Adjon meg egy olyan nevet, amely globálisan egyedi az Azure App Service-ben. Ha például msdocs-website-name nevet használ, a webalkalmazás URL-címe az lenne http://msdocs-website-name.azurewebsites.net.
   • Válasszon egy erőforráscsoportot: Használja a korábban létrehozott Azure Container Registryt tartalmazó erőforráscsoportot.
   • Válasszon egy Linux App Service-csomagot: Használjon meglévőt, vagy hozzon létre egy újat.

4. Az üzembe helyezés részleteiért tekintse meg a OUTPUT ablakot. Az egyik kimeneti sor ez: "Jogosultság megadása az App Service számára a képek lehívásához az ACR-ről...", amelyhez az App Service felügyelt identitással fér hozzá.

   

   A végleges webhely https://<app-name>.azurewebsites.net még nem áll készen, mert mongoDB-adatokat kell megadnia.

   Jegyzet

   A Visual Studio Code-dal való üzembe helyezéskor a felügyelt identitás már be van állítva, hogy az App Service lekérje a képeket a regiszterből. A felügyelt identitás engedélyezését a KIMENETI ablakban található naplók megtekintésével és a "Kép ACR-ből való lekérésére vonatkozó App Service-engedély megadása..." üzenettel ellenőrizheti.

Felügyelt identitás és webhook konfigurálása

A VS Code használatával történő üzembe helyezés során létrehoz egy webhookot, amely lehetővé teszi, hogy a webalkalmazás új tárolóképeket kérjen le az Azure Container Registryből.

1. Tekintse át a webhookok konfigurációját az Azure Portalon, és ellenőrizze, hogy a szolgáltatás URI-ja "/api/registry/webhook" végződéssel végződik-e. A szolgáltatás URI-jának áttekintéséhez nyissa meg a Docker-bővítményt a VS Code-ban, és keresse meg a létrehozott beállításjegyzéket. Kattintson a jobb gombbal a beállításjegyzékre, és válassza a Megnyitás a Portálonlehetőséget. Megnyílik a tárolóregisztrációs adatbázis az Azure Portalon. Kattintson a Szolgáltatások , majd a Webhookok elemre. Nyissa meg a helyi menüt, és kattintson a Konfigurálás gombra.

   

2. Győződjön meg arról, hogy a szolgáltatás URI-ja "/api/registry/webhook" végződésű. Ha nem, fűzze hozzá a karakterlánc végéhez, majd kattintson a Mentés gombra.

A MongoDB-kapcsolat konfigurálása rögzített értékek használatával

Ebben a lépésben adja meg a webalkalmazás mongoDB-hez való csatlakozásához szükséges környezeti változókat.

1. Az Azure-nézetben a VS Code-ban (az Azure Tools bővítményből):

   1. Bontsa ki RESOURCES, és keresse meg App Services- az előfizetése alatt. (Győződjön meg arról, hogy az erőforrásokat erőforrástípus szerint csoportosítja.)

   2. Bontsa ki az App Servicest , és keresse meg a létrehozott webalkalmazást.

   3. Bontsa ki a webalkalmazást, és kattintson a jobb gombbal Alkalmazásbeállításokelemre.

   4. Válassza Új beállítás hozzáadása...lehetőséget.

   

2. Minden alkalommal, amikor új beállítást ad hozzá, megjelenik egy párbeszédpanel a VS Code ablakának tetején, ahol hozzáadhatja a beállítás nevét és az értékét. Adja hozzá a következő beállításokat:

   • CONNECTION_STRING: a MongoDB kapcsolati sztringje. Az oktatóanyag későbbi részében állítsa ezt az értéket az Azure Key Vaultban tárolt kapcsolati sztringre.
   • DB_NAME: restaurants_reviews
   • COLLECTION_NAME: restaurants_reviews
   • WEBSITES_PORT: Django esetén 8000 , Flask esetén 5000 . Ez a környezeti változó határozza meg azt a portot, amelyen a tároló figyel.
   • SECRET_KEY: supersecretkeythatispassedtopythonapp. Ez a titkos kulcs egy véletlenszerű sztring, amelyet a Django és a Flask használ a munkamenet-adatok titkosításához. Az oktatóanyag későbbi részében állítsa ezt az értéket az Azure Key Vaultban tárolt véletlenszerű karakterláncra.

Tallózás a webhelyen a rögzített értékek használatával

Az Azure-nézetben a VS Code-ban (az Azure Tools bővítményből):

1. Bontsa ki RESOURCES, és keresse meg App Services- az előfizetése alatt. (Győződjön meg arról, hogy az erőforrásokat erőforrástípus szerint csoportosítja.)

2. Kattintson a jobb gombbal a webalkalmazásra, és válassza a Webhely tallózása lehetőséget. Ha a webhely hibát jelez, várjon néhány percet, és próbálkozzon újra. A webalkalmazás elindítása eltarthat néhány percig. Lásd még : Az App Service hibaelhárítása.

Key Vault létrehozása RBAC-hitelesítéssel

Ebben a lépésben létrehoz egy Azure Key Vaultot a MongoDB kapcsolati karakterlánc és a webalkalmazás SECRET_KEY tárolásához. Az Azure Key Vault egy biztonságos szolgáltatás titkos kulcsok, API-kulcsok, kapcsolati sztringek és tanúsítványok tárolására. A Key Vault úgy konfigurálja, hogy szerepköralapú hozzáférés-vezérlést (RBAC) használjon a hozzáférés kezeléséhez Azure szerepkörökön keresztül a hagyományos hozzáférési szabályzatok helyett. A webalkalmazás a rendszer által hozzárendelt felügyelt identitással kéri le a titkos kulcsokat biztonságosan futásidőben.

1. Futtassa a következő Azure CLI-parancsot egy új Key Vault létrehozásához. Ez a parancs bash vagy PowerShell használatával hoz létre egy Key Vault, amelyen engedélyezve van az RBAC-engedélyezés.

   • Erősen megüt
   • PowerShell

   #!/bin/bash
   RESOURCE_GROUP_NAME="msdocs-web-app-rg"
   LOCATION="westus"
   KEYVAULT_NAME="${RESOURCE_GROUP_NAME}-kv"
   
   az keyvault create \
     --name "$KEYVAULT_NAME" \
     --resource-group "$RESOURCE_GROUP_NAME" \
     --location "$LOCATION" \
     --enable-rbac-authorization true
   

Key Vault titkos kulcsokért felelős tisztviselői szerepkör biztosítása hitelesített felhasználónak

A titkos kódok Azure Key Vault való tárolásához adja meg a Key Vault Titkos kulcsok tisztviselője szerepkört a szkriptet futtató felhasználónak. Ez a szerepkör lehetővé teszi titkos kódok létrehozását és kezelését a tárolóban.

Ebben a lépésben a szkript hozzárendeli ezt a szerepkört a jelenleg hitelesített felhasználóhoz, így biztonságosan tárolhatja a bizalmas alkalmazásadatokat, például a MongoDB kapcsolati karakterlánc és az alkalmazás SECRET_KEY.

A Azure Role-Based Access Control (RBAC) használatával ez a megközelítés biztonságos, naplózható hozzáférést biztosít a Key Vault identitás alapján, így nem kell közvetlenül kód- vagy konfigurációs fájlokba beágyaznia a hitelesítő adatokat.

1. Az az role assignment create paranccsal rendelje hozzá a szerepkört a Key Vault hatókörhöz.

   • Erősen megüt
   • PowerShell

   #!/bin/bash
   CALLER_ID=$(az ad signed-in-user show --query id -o tsv)
   echo $CALLER_ID # Verify this value retrieved successfully. In production, poll to verify this value is retrieved successfully.
   
   az role assignment create \
     --role "Key Vault Secrets Officer" \
     --assignee "$CALLER_ID" \
     --scope "/subscriptions/$(az account show --query id -o tsv)/resourceGroups/$RESOURCE_GROUP_NAME/providers/Microsoft.KeyVault/vaults/$KEYVAULT_NAME"
   
   

Titkos kulcsok tárolása a Key Vaultban

Az alkalmazásban lévő titkos adatok kódba égetésének elkerülése érdekében tárolja a MongoDB-példányhoz tartozó MongoDB-kapcsolati sztringet és a webalkalmazás titkos kulcsát az Azure Key Vaultban. A webalkalmazás biztonságosan elérheti ezeket a titkos kulcsokat futtatókörnyezetben a felügyelt identitásán keresztül anélkül, hogy a hitelesítő adatokat kódban vagy konfigurációban kellene tárolnia.

1. A MongoDB kapcsolati karakterlánc az az cosmosdb keys list paranccsal kérhető le. Ezután az az keyvault secret set paranccsal tárolja mind a kapcsolati sztringet, mind a véletlenszerűen létrehozott titkos kulcsot a Key Vaultban.

   • Erősen megüt
   • PowerShell

   #!/bin/bash
   ACCOUNT_NAME="msdocs-cosmos-db-account-name"
   
   MONGO_CONNECTION_STRING=$(az cosmosdb keys list \
     --name "$ACCOUNT_NAME" \
     --resource-group "$RESOURCE_GROUP_NAME" \
     --type connection-strings \
     --query "connectionStrings[?description=='Primary MongoDB Connection String'].connectionString" -o tsv)
   
   SECRET_KEY=$(openssl rand -base64 32 | tr -dc 'a-zA-Z0-9')
   # This key is cryptographically secure, using OpenSSL’s strong random number generator.
   
   az keyvault secret set \
     --vault-name "$KEYVAULT_NAME" \
     --name "MongoConnectionString" \
     --value "$MONGO_CONNECTION_STRING"
   
   az keyvault secret set \
     --vault-name "$KEYVAULT_NAME" \
     --name "MongoSecretKey" \
     --value "$SECRET_KEY"
   

Kulcstartó-hozzáférés biztosítása a webalkalmazás felügyelt identitásához

A webalkalmazásnak engedély szükséges a MongoDB kapcsolati sztringhez és a kulcstartó tárházban tárolt SECRET_KEY-hoz való hozzáféréshez. Az engedélyek megadásához rendelje hozzá a Key Vault Titkos kulcsok felhasználói szerepkört a webalkalmazás rendszer által hozzárendelt felügyelt identitásához.

1. Ebben a lépésben a webalkalmazás rendszer által hozzárendelt felügyelt identitásának egyedi azonosítóját (principal ID) használja arra, hogy a az role assignment create paranccsal a Key Vault Secrets User szerepkörrel hozzáférést adjon a webalkalmazásnak a Key Vaulthoz.

   • Erősen megüt
   • PowerShell

   #!/bin/bash
     APP_SERVICE_NAME="msdocs-website-name"
     PRINCIPAL_ID=$(az webapp identity show \
       --name "$APP_SERVICE_NAME" \
       --resource-group "$RESOURCE_GROUP_NAME" \
       --query principalId \
       -o tsv)
   echo $PRINCIPAL_ID # Verify this value retrieved successfully. In production, poll for successful 'AcrPull' role assignment using `az role assignment list`.    
   
   az role assignment create \
   --role "Key Vault Secrets User" \
   --assignee "$PRINCIPAL_ID" \
   --scope "/subscriptions/$(az account show --query id -o tsv)/resourceGroups/$RESOURCE_GROUP_NAME/providers/Microsoft.KeyVault/vaults/$KEYVAULT_NAME"
   

A MongoDB-kapcsolat konfigurálása Key Vault titkos kulcsok használatával

Ebben a lépésben frissíti a MongoDB-hez való csatlakozáshoz szükséges környezeti változókat a kulcstartóban tárolt értékek használatához.

1. Az Azure-nézetben a VS Code-ban (az Azure Tools bővítményből):

   1. Bontsa ki RESOURCES, és keresse meg App Services- az előfizetése alatt. (Győződjön meg arról, hogy az erőforrásokat erőforrástípus szerint csoportosítja.)

   2. Bontsa ki az App Servicest, bontsa ki a webalkalmazást, majd bontsa ki az Alkalmazásbeállítások elemet.

   3. Módosítsa a következő beállításokat:

   • CONNECTION_STRING: @Microsoft.KeyVault(SecretUri=https://msdocs-web-app-rg-kv.vault.azure.net/secrets/MongoConnectionString)
   • SECRET_KEY: @Microsoft.KeyVault(SecretUri=https://$KEYVAULT_NAME.vault.azure.net/secrets/MongoSecretKey)

   Jegyzet

   Az alkalmazásbeállítások helyes beállításának ellenőrzéséhez használja az az webapp config appsettings list parancsot a webalkalmazás alkalmazásbeállításainak listázásához. A parancs formája: az webapp config appsettings list --/<resource-group msdocs-web-app-rg/> --name /<website-name/>. Ez a parancs felsorolja a webalkalmazás összes alkalmazásbeállítását, beleértve az imént beállítottakat is.

Tallózás a webhelyen Key Vault titkos kódok használatával

Az Azure-nézetben a VS Code-ban (az Azure Tools bővítményből):

1. Bontsa ki RESOURCES, és keresse meg App Services- az előfizetése alatt. (Győződjön meg arról, hogy az erőforrásokat erőforrástípus szerint csoportosítja.)

2. Kattintson a jobb gombbal a webalkalmazásra, és válassza a Webhely tallózása lehetőséget. Ha a webhely hibát jelez, várjon néhány percet, és próbálkozzon újra. A webalkalmazás elindítása eltarthat néhány percig. Lásd még : Az App Service hibaelhárítása.