Wdrażanie konteneryzowanej aplikacji w języku Python w usłudze App Service

Polecenia Azure CLI można uruchamiać w Azure Cloud Shell lub na komputerze lokalnym z zainstalowanym Azure CLI.

Tworzenie usługi Key Vault z autoryzacją RBAC

Azure Key Vault to bezpieczna usługa do przechowywania wpisów tajnych, kluczy interfejsu API, parametrów połączenia i certyfikatów. W tym skrypcie przechowuje string połączenia MongoDB i SECRET_KEY aplikacji internetowej.

Skonfiguruj Key Vault do używania kontroli dostępu opartej na rolach (RBAC) w celu zarządzania dostępem za pośrednictwem ról Azure zamiast tradycyjnych zasad dostępu. Aplikacja internetowa używa przypisanej przez system tożsamości zarządzanej do bezpiecznego pobierania tajemnic w trakcie działania.

1. Użyj polecenia az keyvault create, aby utworzyć magazyn kluczy Azure Key Vault z włączoną funkcją RBAC.

   • Bash
   • PowerShell

   #!/bin/bash
   RESOURCE_GROUP_NAME="msdocs-web-app-rg"
   LOCATION="westus"
   KEYVAULT_NAME="${RESOURCE_GROUP_NAME}-kv"
   
   az keyvault create \
     --name "$KEYVAULT_NAME" \
     --resource-group "$RESOURCE_GROUP_NAME" \
     --location "$LOCATION" \
     --enable-rbac-authorization true
   

Utwórz plan usługi App Service i aplikację internetową

Plan usługi App Service definiuje zasoby obliczeniowe, warstwę cenową i region dla aplikacji internetowej. Aplikacja internetowa uruchamia Twoją konteneryzowaną aplikację i jest skonfigurowana z tożsamością zarządzaną przypisaną przez system, której używa do bezpiecznego uwierzytelniania względem usług Azure Container Registry (ACR) i Azure Key Vault.

W tym kroku wykonaj następujące zadania:

• Utwórz plan usługi App Service
• Tworzenie aplikacji internetowej przy użyciu tożsamości zarządzanej
• Konfigurowanie aplikacji internetowej do wdrożenia przy użyciu określonego obrazu kontenera
• Przygotowanie do ciągłego wdrażania za pośrednictwem usługi ACR

1. Użyj polecenia az appservice plan create , aby aprowizować środowisko obliczeniowe dla aplikacji.

   • Bash
   • PowerShell

   #!/bin/bash
   APP_SERVICE_PLAN_NAME="msdocs-web-app-plan"
   
   az appservice plan create \
       --name "$APP_SERVICE_PLAN_NAME" \
       --resource-group "$RESOURCE_GROUP_NAME" \
       --sku B1 \
       --is-linux
   

2. Użyj polecenia az webapp create , aby utworzyć aplikację internetową. To polecenie umożliwia również przypisaną przez system tożsamość zarządzaną i ustawia obraz kontenera, który jest uruchamiany przez aplikację.

   • Bash
   • PowerShell

   #!/bin/bash
   APP_SERVICE_NAME="msdocs-website-name" #APP_SERVICE_NAME must be globally unique as it becomes the website name in the URL `https://<website-name>.azurewebsites.net`.
   # Use the same registry name as in part 2 of this tutorial series.
   REGISTRY_NAME="msdocscontainerregistryname" #REGISTRY_NAME is the registry name you used in part 2 of this tutorial.
   CONTAINER_NAME="$REGISTRY_NAME.azurecr.io/msdocspythoncontainerwebapp:latest" #CONTAINER_NAME is of the form "yourregistryname.azurecr.io/repo_name:tag".
   
   az webapp create \
     --resource-group "$RESOURCE_GROUP_NAME" \
     --plan "$APP_SERVICE_PLAN_NAME" \
     --name "$APP_SERVICE_NAME" \
     --assign-identity '[system]' \
     --deployment-container-image-name "$CONTAINER_NAME" 
   

   Notatka

   Podczas uruchamiania tego polecenia może zostać wyświetlony następujący błąd:

   No credential was provided to access Azure Container Registry. Trying to look up...
   Retrieving credentials failed with an exception:'Failed to retrieve container registry credentials. Please either provide the credentials or run 'az acr update -n msdocscontainerregistryname --admin-enabled true' to enable admin first.'
   

   Ten błąd występuje, ponieważ aplikacja internetowa próbuje użyć poświadczeń administratora w celu uzyskania dostępu do usługi ACR, ale poświadczenia administratora są domyślnie wyłączone. Możesz bezpiecznie zignorować ten komunikat. W następnym kroku skonfiguruje aplikację internetową, aby używała swojej tożsamości zarządzanej do uwierzytelniania za pomocą usługi ACR.

Udzielanie roli Key Vault Secrets Officer uwierzytelnionemu użytkownikowi

Aby przechowywać wpisy tajne w usłudze Azure Key Vault, użytkownik uruchamiacy skrypt musi mieć rolę oficera wpisów tajnych usługi Key Vault . Ta rola udziela uprawnień do tworzenia wpisów tajnych i zarządzania nimi w magazynie.

W tym kroku skrypt przypisuje tę rolę użytkownikowi aktualnie uwierzytelnionemu. Ten użytkownik może następnie bezpiecznie przechowywać poufne informacje aplikacji, takie jak łańcuch połączenia MongoDB i aplikacja SECRET_KEY.

To przypisanie roli jest pierwszym z dwóch przypisań ról związanych z usługą Key Vault. Następnie systemowo przypisana tożsamość zarządzana aplikacji webowej otrzymuje dostęp do pobierania tajemnic z magazynu.

Korzystając z kontroli dostępu opartej na rolach platformy Azure (Azure RBAC), zapewniasz bezpieczny, podlegający inspekcji dostęp w oparciu o tożsamość, więc nie musisz używać poświadczeń zapisanych na stałe w kodzie.

1. Użyj polecenia az role assignment create, aby przypisać rolę w zakresie Key Vault.

   • Bash
   • PowerShell

   #!/bin/bash
   CALLER_ID=$(az ad signed-in-user show --query id -o tsv)
   echo $CALLER_ID # Verify this value retrieved successfully. In production, poll to verify this value is retrieved successfully.
   
   az role assignment create \
     --role "Key Vault Secrets Officer" \
     --assignee "$CALLER_ID" \
     --scope "/subscriptions/$(az account show --query id -o tsv)/resourceGroups/$RESOURCE_GROUP_NAME/providers/Microsoft.KeyVault/vaults/$KEYVAULT_NAME"
   
   

Udzielanie dostępu do sieci ACR przy użyciu tożsamości zarządzanej

Aby bezpiecznie ściągnąć obrazy z usługi Azure Container Registry (ACR), skonfiguruj aplikację internetową tak, aby korzystała z przypisanej przez system tożsamości zarządzanej. Korzystając z tożsamości zarządzanej, nie potrzebujesz poświadczeń administratora i możesz wdrażać rozwiązania w sposób bezpieczny, bez użycia poświadczeń.

Ten proces obejmuje dwie kluczowe akcje:

• Włączanie aplikacji webowej do korzystania z tożsamości zarządzanej przy dostępie do usługi ACR
• Przypisywanie roli AcrPull dla tej tożsamości w docelowej usłudze ACR

1. W tym kroku pobierz identyfikator podmiotu zabezpieczeń (unikatowy identyfikator obiektu) tożsamości zarządzanej aplikacji internetowej za pomocą polecenia az webapp identity show. Następnie włącz użycie tożsamości zarządzanej do uwierzytelniania w usłudze ACR, ustawiając właściwość acrUseManagedIdentityCreds na true za pomocą polecenia az webapp config set. Następnie przypisz rolę AcrPull do tożsamości zarządzanej aplikacji internetowej przy użyciu polecenia az role assignment create . Ta rola przyznaje aplikacji internetowej uprawnienia do ściągania obrazów z rejestru.

   • Bash
   • PowerShell

   #!/bin/bash
   PRINCIPAL_ID=$(az webapp identity show \
     --name "$APP_SERVICE_NAME" \
     --resource-group "$RESOURCE_GROUP_NAME" \
     --query principalId \
     -o tsv)
   echo $PRINCIPAL_ID # Verify this value retrieved successfully. In production, poll for successful 'AcrPull' role assignment using `az role assignment list`.    
   
   az webapp config set \
     --resource-group "$RESOURCE_GROUP_NAME" \
     --name "$APP_SERVICE_NAME" \
     --generic-configurations '{"acrUseManagedIdentityCreds": true}'
   
   az role assignment create \
   --role "AcrPull" \
   --assignee "$PRINCIPAL_ID" \
   --scope "/subscriptions/$(az account show --query id -o tsv)/resourceGroups/$RESOURCE_GROUP_NAME/providers/Microsoft.ContainerRegistry/registries/$REGISTRY_NAME"
   
   

Udzielanie usłudze Key Vault dostępu do tożsamości zarządzanej aplikacji internetowej

Aplikacja internetowa musi mieć uprawnienia dostępu do sekretów, na przykład łańcucha połączeniowego MongoDB i SECRET_KEY. Aby przyznać te uprawnienia, przypisz rolę użytkownika Key Vault Secrets do przypisanej przez system tożsamości zarządzanej aplikacji internetowej.

1. W tym kroku użyj unikatowego identyfikatora (identyfikatora głównego) przypisanej przez system tożsamości zarządzanej aplikacji internetowej, aby udzielić aplikacji internetowej dostępu do Key Vault z rolą użytkownika Key Vault Secrets przy użyciu polecenia az role assignment create.

   • Bash
   • PowerShell

   #!/bin/bash
   
   az role assignment create \
   --role "Key Vault Secrets User" \
   --assignee "$PRINCIPAL_ID" \
   --scope "/subscriptions/$(az account show --query id -o tsv)/resourceGroups/$RESOURCE_GROUP_NAME/providers/Microsoft.KeyVault/vaults/$KEYVAULT_NAME"
   

Przechowywanie wpisów tajnych w Key Vault

Aby uniknąć twardego kodowania wpisów tajnych w aplikacji, przechowuj parametry połączenia z bazą danych MongoDB oraz klucz tajny aplikacji internetowej w Azure Key Vault. Aplikacja internetowa może bezpiecznie uzyskiwać dostęp do tych sekretów w czasie działania przy użyciu swojej tożsamości zarządzanej, więc nie musisz przechowywać poświadczeń w kodzie ani w konfiguracji.

1. Użyj polecenia az cosmosdb keys list, aby pobrać parametry połączenia dla bazy MongoDB. Następnie użyj polecenia az keyvault secret set, aby przechowywać zarówno parametry połączenia, jak i losowo wygenerowany klucz tajny w Key Vault.

   • Bash
   • PowerShell

   #!/bin/bash
   ACCOUNT_NAME="msdocs-cosmos-db-account-name"
   
   MONGO_CONNECTION_STRING=$(az cosmosdb keys list \
     --name "$ACCOUNT_NAME" \
     --resource-group "$RESOURCE_GROUP_NAME" \
     --type connection-strings \
     --query "connectionStrings[?description=='Primary MongoDB Connection String'].connectionString" -o tsv)
   
   SECRET_KEY=$(openssl rand -base64 32 | tr -dc 'a-zA-Z0-9')
   # This key is cryptographically secure, using OpenSSL’s strong random number generator.
   
   az keyvault secret set \
     --vault-name "$KEYVAULT_NAME" \
     --name "MongoConnectionString" \
     --value "$MONGO_CONNECTION_STRING"
   
   az keyvault secret set \
     --vault-name "$KEYVAULT_NAME" \
     --name "MongoSecretKey" \
     --value "$SECRET_KEY"
   

Konfigurowanie aplikacji internetowej do używania wpisów tajnych z usługi Key Vault

Aby bezpiecznie uzyskiwać dostęp do wpisów tajnych w czasie wykonywania, skonfiguruj aplikację internetową w celu odwołowania się do wpisów tajnych przechowywanych w Azure Key Vault. Użyj odwołań usługi Key Vault, aby wprowadzić wartości wpisów tajnych do środowiska aplikacji za pomocą przypisanej jej przez system tożsamości zarządzanej.

Takie podejście pozwala uniknąć zakodowywania na stałe tajnych danych i umożliwia aplikacji bezpieczne pobieranie poufnych wartości, takich jak łańcuch połączenia z MongoDB i klucz tajny, podczas działania.

1. Użyj polecenia az webapp config appsettings set, aby dodać ustawienia aplikacji odwołujące się do wpisów tajnych w usłudze Key Vault. W szczególności ustaw ustawienia aplikacji MongoConnectionString i MongoSecretKey tak, aby odwoływały się do odpowiednich sekretów przechowywanych w Key Vault.

   • Bash
   • PowerShell

   #!/bin/bash
   MONGODB_NAME="restaurants_reviews"
   MONGODB_COLLECTION_NAME="restaurants_reviews"
   
   az webapp config appsettings set \
     --resource-group "$RESOURCE_GROUP_NAME" \
     --name "$APP_SERVICE_NAME" \
     --settings \
         CONNECTION_STRING="@Microsoft.KeyVault(SecretUri=https://$KEYVAULT_NAME.vault.azure.net/secrets/MongoConnectionString)" \
         SECRET_KEY="@Microsoft.KeyVault(SecretUri=https://$KEYVAULT_NAME.vault.azure.net/secrets/MongoSecretKey)" \
         DB_NAME="$MONGODB_NAME" \
         COLLECTION_NAME="$MONGODB_COLLECTION_NAME"
   

Włączanie ciągłego wdrażania z usługi ACR

Po włączeniu ciągłego wdrażania aplikacja internetowa automatycznie ściąga i uruchamia najnowszy obraz kontenera za każdym razem, gdy wypchniesz jeden do Azure Container Registry (ACR). Ta funkcja zmniejsza ręczne kroki wdrażania i pomaga zapewnić aktualność aplikacji.

1. Użyj polecenia az webapp deployment container config , aby włączyć ciągłe wdrażanie z usługi ACR do aplikacji internetowej.

   • Bash
   • PowerShell

   #!/bin/bash
   az webapp deployment container config \
     --name "$APP_SERVICE_NAME" \
     --resource-group "$RESOURCE_GROUP_NAME" \
     --enable-cd true
   

Zarejestruj element webhook w usłudze ACR do ciągłego wdrażania

Aby zautomatyzować wdrożenia, zarejestruj element webhook w usłudze Azure Container Registry (ACR), który powiadamia aplikację internetową za każdym razem, gdy zostanie wypchnięty nowy obraz kontenera. Za pomocą elementu webhook aplikacja automatycznie ściąga i uruchamia najnowszą wersję.

Webhook skonfigurowany w usłudze Azure Container Registry (ACR) wysyła żądanie POST do punktu końcowego SCM aplikacji internetowej (SERVICE_URI) za każdym razem, gdy nowy obraz zostanie wypchnięty do repozytorium msdocspythoncontainerwebapp. Ta akcja wyzwala aplikację internetową w celu ściągnięcia i wdrożenia zaktualizowanego obrazu, kończąc potok ciągłego wdrażania między usługą ACR i usługą Azure App Service.

1. Użyj polecenia az acr webhook create, aby zarejestrować webhook i skonfigurować go tak, aby był wyzwalany przez zdarzenia push.

   • Bash
   • PowerShell

   #!/bin/bash
   CREDENTIAL=$(az webapp deployment list-publishing-credentials \
       --resource-group "$RESOURCE_GROUP_NAME" \
       --name "$APP_SERVICE_NAME" \
       --query publishingPassword --output tsv)
   # Web app publishing credentials may not be available immediately. In production, poll until non-empty.   
   
   SERVICE_URI="https://$APP_SERVICE_NAME:$CREDENTIAL@$APP_SERVICE_NAME.scm.azurewebsites.net/api/registry/webhook"
   
   az acr webhook create \
     --name webhookforwebapp \
     --registry "$REGISTRY_NAME" \
     --scope msdocspythoncontainerwebapp:* \
     --uri "$SERVICE_URI" \
     --actions push
   
   

Przeglądanie witryny

Aby sprawdzić, czy aplikacja internetowa jest uruchomiona, otwórz https://<website-name>.azurewebsites.net, zastępując <website-name> nazwą swojej usługi App Service. Powinna zostać wyświetlona przykładowa aplikacja do przeglądu restauracji. Załadowanie po raz pierwszy może potrwać kilka minut.

Po pojawieniu się witryny spróbuj dodać restaurację i przesłać recenzję, aby potwierdzić, że aplikacja działa prawidłowo.

Jeśli używasz Azure CLI lokalnie, użyj polecenia az webapp browse, aby otworzyć witrynę w domyślnej przeglądarce:

az webapp browse --name $APP_SERVICE_NAME --resource-group $RESOURCE_GROUP_NAME

Rozszerzenie Docker w programie Visual Studio Code umożliwia budowanie i wdrażanie konteneryzowanej aplikacji webowej na platformie Azure App Service. To rozszerzenie usprawnia proces pakowania aplikacji i wypychania jej do chmury. Po wdrożeniu użyj rozszerzenia Azure Tools, aby skonfigurować ustawienia aplikacji internetowej, w tym parametry połączenia bazy danych MongoDB i klucz tajny dla aplikacji.

Początkowo skonfiguruj i przetestuj aplikację przy użyciu zakodowanych na stałe wartości, aby upewnić się, że uruchamia i pomyślnie nawiązuje połączenie z bazą danych MongoDB. Po sprawdzeniu, czy aplikacja działa, użyj interfejsu wiersza polecenia platformy Azure (lokalnie lub w usłudze Cloud Shell), aby utworzyć usługę Azure Key Vault. Następnie przyznaj użytkownikowi tworzącemu aplikację w aplikacji VS Code uprawnienia do przechowywania poufnych informacji, a następnie zapisz parametry połączenia z bazą danych MongoDB oraz klucz tajny aplikacji jako wpisy tajne w usłudze Key Vault.

Na koniec w programie Visual Studio Code zaktualizuj ustawienia aplikacji internetowej, aby odwoływać się do wpisów tajnych przechowywanych w usłudze Key Vault. Aplikacja może teraz bezpiecznie uzyskiwać dostęp do wartości konfiguracji bez osadzania ich bezpośrednio w kodzie.

Tworzenie aplikacji internetowej

Te kroki wymagają zainstalowania rozszerzenia platformy Docker dla programu VS Code.

1. Odśwież usługę Azure Container Registry w rozszerzeniu platformy Docker, aby potwierdzić, że utworzony kontener jest wyświetlany w sekcji REJESTRY rozszerzenia platformy Docker. Jeśli tak nie jest, kliknij prawym przyciskiem myszy nazwę rejestru i wybierz pozycję Odśwież.

   

2. Wybierz pozycję F1 lub CTRL+SHIFT+P, aby otworzyć paletę poleceń, wpisz "Docker Registries", i wybierz Docker Registries: Wdróż obraz do Azure App Service....

3. Wprowadź następujące wartości, gdy zostanie wyświetlony monit o wdrożenie obrazu:

   • Wybierz dostawcę rejestru: Azure
   • Subskrypcja: wybierz subskrypcję zawierającą wcześniej utworzoną usługę Azure Container Registry.
   • Wybierz rejestr: wprowadź nazwę rejestru, który utworzyłeś wcześniej w tym samouczku.
   • Wybierz repozytorium: wprowadź nazwę repozytorium msdocscontainerregistryname. Jeśli to repozytorium nie jest widoczne, odśwież sekcję REGISTRIES rozszerzenia platformy Docker.
   • Wybierz tag: najnowszy dla tagu obrazu.
   • Wprowadź globalnie unikatową nazwę aplikacji internetowej: wprowadź nazwę globalnie unikatową dla usługi Azure App Service. Jeśli na przykład używasz nazwy msdocs-website-name, adres URL aplikacji internetowej to http://msdocs-website-name.azurewebsites.net.
   • Wybierz grupę zasobów: użyj grupy zasobów zawierającej wcześniej utworzoną usługę Azure Container Registry.
   • Wybierz plan usługi App Service dla systemu Linux: użyj istniejącego lub utwórz nowy.

4. Wyświetl okno OUTPUT, aby uzyskać szczegółowe informacje o wdrożeniu. Jedną z linii wyjściowych jest "Udzielanie uprawnień usłudze App Service do ściągania obrazu z usługi ACR...", w której usługa App Service uzyskuje dostęp do rejestru przy użyciu tożsamości zarządzanej.

   

   Ostateczna witryna https://<app-name>.azurewebsites.net nie jest jeszcze gotowa, ponieważ należy określić informacje o bazie danych MongoDB.

   Notatka

   Podczas wdrażania za pomocą programu Visual Studio Code tożsamość zarządzana jest już ustawiona dla usługi App Service w celu ściągania obrazów z rejestru. Możesz potwierdzić, że tożsamość zarządzana jest włączona, sprawdzając dzienniki w oknie OUTPUT i wyszukując komunikat "Udzielanie uprawnień usłudze App Service do ściągania obrazu z usługi ACR...".

Konfigurowanie tożsamości zarządzanej i webhooka

Podczas wdrażania za pomocą programu VS Code utworzysz element webhook, który umożliwia aplikacji internetowej ściąganie nowych obrazów z Azure Container Registry.

1. Przejrzyj konfigurację webhooków w portalu Azure, aby potwierdzić, że identyfikator URI usługi kończy się ciągiem "/api/registry/webhook". Aby przejrzeć identyfikator URI usługi, otwórz rozszerzenie platformy Docker w programie VS Code i znajdź utworzony rejestr. Kliknij prawym przyciskiem myszy rejestr i wybierz pozycję Otwórz w portalu. Rejestr kontenerów zostanie otwarty w witrynie Azure Portal. Kliknij Usługi, a następnie kliknij Webhooki. Otwórz menu kontekstowe i kliknij pozycję Konfiguruj.

   

2. Upewnij się, że identyfikator URI usługi kończy się ciągiem "/api/registry/webhook". Jeśli tak nie jest, dodaj go na końcu ciągu i kliknij przycisk Zapisz.

Konfigurowanie połączenia z bazą danych MongoDB przy użyciu zakodowanych wartości

W tym kroku określ zmienne środowiskowe wymagane przez aplikację internetową do nawiązania połączenia z bazą danych MongoDB.

1. W widoku platformy Azure w programie VS Code (z rozszerzenia Azure Tools):

   1. Rozwiń RESOURCES i znajdź App Services w ramach Twojej subskrypcji. (Upewnij się, że wyświetlasz zasoby według grupowania według typu zasobu).

   2. Rozwiń usługi App Services i znajdź utworzoną aplikację webową.

   3. Rozwiń aplikację webową i kliknij prawym przyciskiem myszy opcję Ustawienia aplikacji.

   4. Wybierz pozycję Dodaj nowe ustawienie....

   

2. Za każdym razem, gdy dodasz nowe ustawienie, w górnej części okna programu VS Code zostanie wyświetlone okno dialogowe, w którym można dodać nazwę ustawienia, po którym następuje jego wartość. Dodaj następujące ustawienia:

   • CONNECTION_STRING: parametry połączenia bazy danych MongoDB. W dalszej części tego samouczka ustaw tę wartość na parametry połączenia przechowywaną w Azure Key Vault.
   • DB_NAME: restaurants_reviews
   • COLLECTION_NAME: restaurants_reviews
   • WEBSITES_PORT: 8000 dla Django i 5000 dla Platformy Flask. Ta zmienna środowiskowa określa port, na którym nasłuchuje kontener.
   • SECRET_KEY (tajny_klucz): supersecretkeythatispassedtopythonapp. Ten klucz tajny to losowy ciąg używany przez platformę Django i platformę Flask do szyfrowania danych sesji. W dalszej części tego samouczka ustaw tę wartość na losowy ciąg przechowywany w Azure Key Vault.

Przeglądanie witryny przy użyciu zakodowanych wartości

W widoku platformy Azure w programie VS Code (z rozszerzenia Azure Tools):

1. Rozwiń RESOURCES i znajdź App Services w ramach Twojej subskrypcji. (Upewnij się, że wyświetlasz zasoby według grupowania według typu zasobu).

2. Kliknij prawym przyciskiem myszy aplikację internetową i wybierz pozycję Przeglądaj witrynę internetową. Jeśli witryna internetowa wyświetli błąd, zaczekaj kilka minut i spróbuj ponownie. Uruchomienie aplikacji internetowej może potrwać kilka minut. Zobacz również Rozwiązywanie problemów z usługą App Service.

Tworzenie usługi Key Vault z autoryzacją RBAC

W tym kroku utworzysz usługę Azure Key Vault do przechowywania parametrów połączenia bazy danych MongoDB i aplikacji SECRET_KEYinternetowej . Azure Key Vault to bezpieczna usługa do przechowywania wpisów tajnych, kluczy interfejsu API, parametrów połączenia i certyfikatów. Należy skonfigurować Key Vault do używania kontroli dostępu opartej na rolach (RBAC) do zarządzania dostępem za pośrednictwem ról Azure zamiast tradycyjnych zasad dostępu. Aplikacja internetowa używa przypisanej przez system tożsamości zarządzanej do bezpiecznego pobierania tajemnic w trakcie działania.

1. Uruchom następujące polecenie interfejsu wiersza polecenia platformy Azure, aby utworzyć nową usługę Key Vault. To polecenie używa powłoki bash lub programu PowerShell do utworzenia Key Vault z włączoną autoryzacją RBAC.

   • Bash
   • PowerShell

   #!/bin/bash
   RESOURCE_GROUP_NAME="msdocs-web-app-rg"
   LOCATION="westus"
   KEYVAULT_NAME="${RESOURCE_GROUP_NAME}-kv"
   
   az keyvault create \
     --name "$KEYVAULT_NAME" \
     --resource-group "$RESOURCE_GROUP_NAME" \
     --location "$LOCATION" \
     --enable-rbac-authorization true
   

Udzielanie roli Key Vault Secrets Officer uwierzytelnionemu użytkownikowi

Aby przechowywać wpisy tajne w Azure Key Vault, przyznaj użytkownikowi uruchamiającego skrypt rolę Key Vault Secrets Officer. Ta rola umożliwia tworzenie sekretów i zarządzanie nimi w skarbcu.

W tym kroku skrypt przypisuje tę rolę do aktualnie uwierzytelnionego użytkownika, umożliwiając im bezpieczne przechowywanie poufnych danych aplikacji, takich jak parametry połączenia MongoDB i SECRET_KEY aplikacji.

Dzięki użyciu Azure Role-Based Access Control (RBAC) to podejście zapewnia bezpieczny, możliwy do inspekcji dostęp do Key Vault na podstawie tożsamości, dzięki czemu nie trzeba osadzać poświadczeń bezpośrednio w kodzie lub plikach konfiguracji.

1. Użyj polecenia az role assignment create, aby przypisać rolę w zakresie Key Vault.

   • Bash
   • PowerShell

   #!/bin/bash
   CALLER_ID=$(az ad signed-in-user show --query id -o tsv)
   echo $CALLER_ID # Verify this value retrieved successfully. In production, poll to verify this value is retrieved successfully.
   
   az role assignment create \
     --role "Key Vault Secrets Officer" \
     --assignee "$CALLER_ID" \
     --scope "/subscriptions/$(az account show --query id -o tsv)/resourceGroups/$RESOURCE_GROUP_NAME/providers/Microsoft.KeyVault/vaults/$KEYVAULT_NAME"
   
   

Przechowywanie wpisów tajnych w Key Vault

Aby uniknąć umieszczania wpisów tajnych na stałe w kodzie aplikacji, zapisz w Azure Key Vault parametry połączenia z wystąpieniem MongoDB oraz klucz tajny aplikacji internetowej. Aplikacja internetowa może bezpiecznie uzyskiwać dostęp do tych sekretów w czasie wykonywania za pośrednictwem swojej tożsamości zarządzanej, bez konieczności przechowywania poświadczeń w kodzie lub konfiguracji.

1. Użyj polecenia az cosmosdb keys list, aby pobrać parametry połączenia dla bazy MongoDB. Następnie użyj polecenia az keyvault secret set, aby przechowywać zarówno parametry połączenia, jak i losowo wygenerowany klucz tajny w Key Vault.

   • Bash
   • PowerShell

   #!/bin/bash
   ACCOUNT_NAME="msdocs-cosmos-db-account-name"
   
   MONGO_CONNECTION_STRING=$(az cosmosdb keys list \
     --name "$ACCOUNT_NAME" \
     --resource-group "$RESOURCE_GROUP_NAME" \
     --type connection-strings \
     --query "connectionStrings[?description=='Primary MongoDB Connection String'].connectionString" -o tsv)
   
   SECRET_KEY=$(openssl rand -base64 32 | tr -dc 'a-zA-Z0-9')
   # This key is cryptographically secure, using OpenSSL’s strong random number generator.
   
   az keyvault secret set \
     --vault-name "$KEYVAULT_NAME" \
     --name "MongoConnectionString" \
     --value "$MONGO_CONNECTION_STRING"
   
   az keyvault secret set \
     --vault-name "$KEYVAULT_NAME" \
     --name "MongoSecretKey" \
     --value "$SECRET_KEY"
   

Udzielanie usłudze Key Vault dostępu do tożsamości zarządzanej aplikacji internetowej

Aplikacja internetowa musi mieć uprawnienia dostępu do ciągu połączenia MongoDB oraz SECRET_KEY, które przechowujesz w magazynie kluczy. Aby przyznać te uprawnienia, przypisz rolę użytkownika Key Vault Secrets do przypisanej przez system tożsamości zarządzanej aplikacji internetowej.

1. W tym kroku użyj unikatowego identyfikatora (identyfikatora głównego) przypisanej przez system tożsamości zarządzanej aplikacji internetowej, aby udzielić aplikacji internetowej dostępu do Key Vault z rolą użytkownika Key Vault Secrets przy użyciu polecenia az role assignment create.

   • Bash
   • PowerShell

   #!/bin/bash
     APP_SERVICE_NAME="msdocs-website-name"
     PRINCIPAL_ID=$(az webapp identity show \
       --name "$APP_SERVICE_NAME" \
       --resource-group "$RESOURCE_GROUP_NAME" \
       --query principalId \
       -o tsv)
   echo $PRINCIPAL_ID # Verify this value retrieved successfully. In production, poll for successful 'AcrPull' role assignment using `az role assignment list`.    
   
   az role assignment create \
   --role "Key Vault Secrets User" \
   --assignee "$PRINCIPAL_ID" \
   --scope "/subscriptions/$(az account show --query id -o tsv)/resourceGroups/$RESOURCE_GROUP_NAME/providers/Microsoft.KeyVault/vaults/$KEYVAULT_NAME"
   

Konfigurowanie połączenia z MongoDB przy użyciu wpisów tajnych w usłudze Key Vault

W tym kroku zaktualizujesz zmienne środowiskowe potrzebne do nawiązania połączenia z bazą danych MongoDB, aby używać wartości przechowywanych w magazynie kluczy.

1. W widoku platformy Azure w programie VS Code (z rozszerzenia Azure Tools):

   1. Rozwiń RESOURCES i znajdź App Services w ramach Twojej subskrypcji. (Upewnij się, że wyświetlasz zasoby według grupowania według typu zasobu).

   2. Rozwiń Usługi aplikacji, rozwiń aplikację internetową, a następnie rozwiń Ustawienia aplikacji.

   3. Zmodyfikuj następujące ustawienia:

   • CIĄG_POŁĄCZENIA: @Microsoft.KeyVault(SecretUri=https://msdocs-web-app-rg-kv.vault.azure.net/secrets/MongoConnectionString)
   • SECRET_KEY: @Microsoft.KeyVault(SecretUri=https://$KEYVAULT_NAME.vault.azure.net/secrets/MongoSecretKey)

   Notatka

   Aby sprawdzić, czy ustawienia aplikacji są ustawione poprawnie, użyj polecenia az webapp config appsettings list , aby wyświetlić listę ustawień aplikacji dla aplikacji internetowej. Format polecenia to: az webapp config appsettings list --/<resource-group msdocs-web-app-rg/> --name /<website-name/>. To polecenie wyświetla listę wszystkich ustawień aplikacji dla aplikacji internetowej, w tym tych, które właśnie ustawiono.

Przeglądaj witrynę przy użyciu kluczy tajnych usługi Key Vault

W widoku platformy Azure w programie VS Code (z rozszerzenia Azure Tools):

1. Rozwiń RESOURCES i znajdź App Services w ramach Twojej subskrypcji. (Upewnij się, że wyświetlasz zasoby według grupowania według typu zasobu).

2. Kliknij prawym przyciskiem myszy aplikację internetową i wybierz pozycję Przeglądaj witrynę internetową. Jeśli witryna internetowa wyświetli błąd, zaczekaj kilka minut i spróbuj ponownie. Uruchomienie aplikacji internetowej może potrwać kilka minut. Zobacz również Rozwiązywanie problemów z usługą App Service.