Развертывание контейнерного приложения Python в службе приложений

Команды Azure CLI можно запускать в Azure Cloud Shell или на локальном компьютере с установленным Azure CLI.

Создание Key Vault с авторизацией RBAC

Azure Key Vault — это безопасная служба для хранения секретов, ключей API, строк подключения и сертификатов. В этом скрипте хранится строка подключения MongoDB и веб-приложение SECRET_KEY.

Key Vault настроено использовать управление доступом на основе ролей (RBAC) для управления доступом с помощью ролей Azure вместо традиционных политик доступа. Веб-приложение использует системно назначенное управляемое удостоверение для безопасного получения секретов во время исполнения.

1. На этом шаге вы используете команду az keyvault create для создания Azure Key Vault с включенным RBAC.

   • Баш
   • PowerShell

   #!/bin/bash
   RESOURCE_GROUP_NAME="msdocs-web-app-rg"
   LOCATION="westus"
   KEYVAULT_NAME="${RESOURCE_GROUP_NAME}-kv"
   
   az keyvault create \
     --name "$KEYVAULT_NAME" \
     --resource-group "$RESOURCE_GROUP_NAME" \
     --location "$LOCATION" \
     --enable-rbac-authorization true
   

Создание плана службы приложений и веб-приложения

План службы приложений определяет вычислительные ресурсы, ценовую категорию и регион для веб-приложения. Веб-приложение запускает контейнерное приложение и оснащается системно назначаемым управляемым удостоверением, которое используется для безопасной аутентификации в Реестре контейнеров Azure (ACR) и Azure Key Vault.

На этом шаге выполняются следующие задачи:

• Создание плана службы приложений
• Создайте веб-приложение с управляемым удостоверением
• Настройка веб-приложения для развертывания с помощью определенного образа контейнера
• Подготовка к непрерывному развертыванию с помощью ACR

1. На этом шаге вы используете команду az appservice plan create для подготовки вычислительной среды для приложения.

   • Баш
   • PowerShell

   #!/bin/bash
   APP_SERVICE_PLAN_NAME="msdocs-web-app-plan"
   
   az appservice plan create \
       --name "$APP_SERVICE_PLAN_NAME" \
       --resource-group "$RESOURCE_GROUP_NAME" \
       --sku B1 \
       --is-linux
   

2. На этом шаге вы используете команду az webapp create для создания веб-приложения. Эта команда также включает управляемое удостоверение, назначаемое системой и задает образ контейнера для запуска приложения.

   • Баш
   • PowerShell

   #!/bin/bash
   APP_SERVICE_NAME="msdocs-website-name" #APP_SERVICE_NAME must be globally unique as it becomes the website name in the URL `https://<website-name>.azurewebsites.net`.
   # Use the same registry name as in part 2 of this tutorial series.
   REGISTRY_NAME="msdocscontainerregistryname" #REGISTRY_NAME is the registry name you used in part 2 of this tutorial.
   CONTAINER_NAME="$REGISTRY_NAME.azurecr.io/msdocspythoncontainerwebapp:latest" #CONTAINER_NAME is of the form "yourregistryname.azurecr.io/repo_name:tag".
   
   az webapp create \
     --resource-group "$RESOURCE_GROUP_NAME" \
     --plan "$APP_SERVICE_PLAN_NAME" \
     --name "$APP_SERVICE_NAME" \
     --assign-identity '[system]' \
     --deployment-container-image-name "$CONTAINER_NAME" 
   

   Заметка

   При выполнении этой команды может возникнуть следующая ошибка:

   No credential was provided to access Azure Container Registry. Trying to look up...
   Retrieving credentials failed with an exception:'Failed to retrieve container registry credentials. Please either provide the credentials or run 'az acr update -n msdocscontainerregistryname --admin-enabled true' to enable admin first.'
   

   Эта ошибка возникает, так как веб-приложение пытается использовать учетные данные администратора для доступа к ACR, учетные данные которых отключены по умолчанию. Это сообщение безопасно игнорировать: следующий шаг настраивает веб-приложение для использования управляемого удостоверения для проверки подлинности с помощью ACR.

Предоставление роли офицера секретов пользователю, вошедшего в систему

Чтобы хранить секреты в Azure Key Vault, пользователь, запускающий сценарий, должен иметь роль Key Vault Secrets Officer. Эта роль позволяет создавать и управлять секретами в хранилище.

На этом шаге скрипт назначает эту роль пользователю, вошедшего в систему. Затем этот пользователь может безопасно хранить секреты приложений, например строку подключения MongoDB и приложение SECRET_KEY.

Это назначение роли является первым из двух назначений ролей, связанных с Key Vault. Позже управляемому удостоверению, назначаемому системой для веб-приложения, предоставляется доступ для получения секретов из хранилища ключей.

Использование Azure RBAC обеспечивает безопасный аудит доступа на основе удостоверений, устраняя необходимость жестко закодированных учетных данных.

1. На этом шаге вы используете команду az role assignment create , чтобы назначить роль в области Key Vault.

   • Баш
   • PowerShell

   #!/bin/bash
   CALLER_ID=$(az ad signed-in-user show --query id -o tsv)
   echo $CALLER_ID # Verify this value retrieved successfully. In production, poll to verify this value is retrieved successfully.
   
   az role assignment create \
     --role "Key Vault Secrets Officer" \
     --assignee "$CALLER_ID" \
     --scope "/subscriptions/$(az account show --query id -o tsv)/resourceGroups/$RESOURCE_GROUP_NAME/providers/Microsoft.KeyVault/vaults/$KEYVAULT_NAME"
   
   

Предоставление веб-доступа к ACR с помощью управляемого удостоверения

Чтобы безопасно извлекать образы из реестра контейнеров Azure (ACR), веб-приложение должно быть настроено для использования управляемого удостоверения, назначаемого системой. Использование управляемого удостоверения позволяет избежать необходимости в использовании учетных данных администратора и поддерживает безопасное, без учетных данных развертывание.

Этот процесс включает два ключевых действия:

• Включение веб-приложения для использования его управляемой идентичности при доступе к Azure Container Registry (ACR)
• Назначение роли AcrPull для этого удостоверения в целевом ACR

1. На этом шаге вы извлечете идентификатор субъекта (уникальный идентификатор объекта) управляемого удостоверения веб-приложения с помощью команды az webapp identity show. Затем вы включаете управляемое удостоверение для аутентификации в ACR, настраивая свойство acrUseManagedIdentityCreds значением true с помощью az webapp config set. Затем вы назначите роль AcrPull управляемому удостоверению веб-приложения с помощью команды az role assignment create . Эта роль предоставляет веб-приложению разрешение на извлечение образов из реестра.

   • Баш
   • PowerShell

   #!/bin/bash
   PRINCIPAL_ID=$(az webapp identity show \
     --name "$APP_SERVICE_NAME" \
     --resource-group "$RESOURCE_GROUP_NAME" \
     --query principalId \
     -o tsv)
   echo $PRINCIPAL_ID # Verify this value retrieved successfully. In production, poll for successful 'AcrPull' role assignment using `az role assignment list`.    
   
   az webapp config set \
     --resource-group "$RESOURCE_GROUP_NAME" \
     --name "$APP_SERVICE_NAME" \
     --generic-configurations '{"acrUseManagedIdentityCreds": true}'
   
   az role assignment create \
   --role "AcrPull" \
   --assignee "$PRINCIPAL_ID" \
   --scope "/subscriptions/$(az account show --query id -o tsv)/resourceGroups/$RESOURCE_GROUP_NAME/providers/Microsoft.ContainerRegistry/registries/$REGISTRY_NAME"
   
   

Предоставьте доступ к хранилищу ключей для управляемого удостоверения веб-приложения.

Веб-приложение должно иметь разрешение на доступ к секретам, таким как строка подключения MongoDB и .SECRET_KEY Чтобы предоставить эти разрешения, необходимо назначить роль пользователя секретов Key Vaultназначенному системой управляемому удостоверению веб-приложения.

1. На этом шаге вы используете уникальный идентификатор (основной идентификатор) управляемого удостоверения веб-приложения, назначаемого системой, для предоставления веб-приложению доступа к Key Vault с ролью пользователя секретов Key Vault с помощью команды az role assignment create .

   • Баш
   • PowerShell

   #!/bin/bash
   
   az role assignment create \
   --role "Key Vault Secrets User" \
   --assignee "$PRINCIPAL_ID" \
   --scope "/subscriptions/$(az account show --query id -o tsv)/resourceGroups/$RESOURCE_GROUP_NAME/providers/Microsoft.KeyVault/vaults/$KEYVAULT_NAME"
   

Хранение секретов в Key Vault

Чтобы избежать жесткого кода секретов в приложении, на этом шаге хранится строка подключения MongoDB и секретный ключ веб-приложения в Azure Key Vault. Затем к этим секретам может безопасно получить доступ веб-приложение во время выполнения через управляемое удостоверение, без необходимости хранения учетных данных в коде или конфигурации.

1. На этом шаге вы используете команду az cosmosdb keys list для получения строки подключения MongoDB. Затем вы используете команду az keyvault secret set для хранения строки подключения и случайно созданного секретного ключа в Key Vault.

   • Баш
   • PowerShell

   #!/bin/bash
   ACCOUNT_NAME="msdocs-cosmos-db-account-name"
   
   MONGO_CONNECTION_STRING=$(az cosmosdb keys list \
     --name "$ACCOUNT_NAME" \
     --resource-group "$RESOURCE_GROUP_NAME" \
     --type connection-strings \
     --query "connectionStrings[?description=='Primary MongoDB Connection String'].connectionString" -o tsv)
   
   SECRET_KEY=$(openssl rand -base64 32 | tr -dc 'a-zA-Z0-9')
   # This key is cryptographically secure, using OpenSSL’s strong random number generator.
   
   az keyvault secret set \
     --vault-name "$KEYVAULT_NAME" \
     --name "MongoConnectionString" \
     --value "$MONGO_CONNECTION_STRING"
   
   az keyvault secret set \
     --vault-name "$KEYVAULT_NAME" \
     --name "MongoSecretKey" \
     --value "$SECRET_KEY"
   

Настройка веб-приложения для использования секретов Kay Vault

Для безопасного доступа к секретам во время выполнения веб-приложение должно быть настроено для ссылки на секреты, хранящиеся в Azure Key Vault. Этот шаг выполняется с помощью ссылок Key Vault, которые внедряют значения секретов в среду приложения с помощью управляемого удостоверения, назначаемого системой.

Этот подход позволяет избежать жесткого кода секретов и позволяет приложению безопасно извлекать конфиденциальные значения, такие как строка подключения MongoDB и секретный ключ во время выполнения.

1. На этом шаге вы используете команду az webapp config appsettings set для добавления параметров приложения, ссылающихся на секреты Key Vault. В частности, это задает настройки MongoConnectionString и MongoSecretKey приложения для ссылок на соответствующие секреты, хранящиеся в Key Vault.

   • Баш
   • PowerShell

   #!/bin/bash
   MONGODB_NAME="restaurants_reviews"
   MONGODB_COLLECTION_NAME="restaurants_reviews"
   
   az webapp config appsettings set \
     --resource-group "$RESOURCE_GROUP_NAME" \
     --name "$APP_SERVICE_NAME" \
     --settings \
         CONNECTION_STRING="@Microsoft.KeyVault(SecretUri=https://$KEYVAULT_NAME.vault.azure.net/secrets/MongoConnectionString)" \
         SECRET_KEY="@Microsoft.KeyVault(SecretUri=https://$KEYVAULT_NAME.vault.azure.net/secrets/MongoSecretKey)" \
         DB_NAME="$MONGODB_NAME" \
         COLLECTION_NAME="$MONGODB_COLLECTION_NAME"
   

Настройка непрерывного развертывания из ACR

Включение непрерывного развертывания позволяет веб-приложению автоматически извлекать и запускать последний образ контейнера при отправке в реестр контейнеров Azure (ACR). Это сокращает действия по развертыванию вручную и помогает обеспечить актуальность приложения.

1. На этом шаге вы используете команду az webapp deployment container config , чтобы включить непрерывное развертывание из ACR в веб-приложение.

   • Баш
   • PowerShell

   #!/bin/bash
   az webapp deployment container config \
     --name "$APP_SERVICE_NAME" \
     --resource-group "$RESOURCE_GROUP_NAME" \
     --enable-cd true
   

Регистрация веб-хука ACR для непрерывного развертывания

Чтобы автоматизировать развертывание, зарегистрируйте веб-перехватчик в реестре контейнеров Azure (ACR), который уведомляет веб-приложение при отправке нового образа контейнера. Вебхук позволяет приложению автоматически загружать и запускать последнюю версию.

Веб-перехватчик, настроенный в реестре контейнеров Azure (ACR), отправляет запрос POST в конечную точку SCM веб-приложения (SERVICE_URI), когда новый образ отправляется в репозиторий msdocspythoncontainerwebapp. Это действие активирует веб-приложение для извлечения и развертывания обновленного образа, завершения конвейера непрерывного развертывания между ACR и службой приложений Azure.

1. На этом шаге используйте команду az acr webhook create, чтобы зарегистрировать веб-перехватчик и настроить его для активации на событиях push.

   • Баш
   • PowerShell

   #!/bin/bash
   CREDENTIAL=$(az webapp deployment list-publishing-credentials \
       --resource-group "$RESOURCE_GROUP_NAME" \
       --name "$APP_SERVICE_NAME" \
       --query publishingPassword --output tsv)
   # Web app publishing credentials may not be available immediately. In production, poll until non-empty.   
   
   SERVICE_URI="https://$APP_SERVICE_NAME:$CREDENTIAL@$APP_SERVICE_NAME.scm.azurewebsites.net/api/registry/webhook"
   
   az acr webhook create \
     --name webhookforwebapp \
     --registry "$REGISTRY_NAME" \
     --scope msdocspythoncontainerwebapp:* \
     --uri "$SERVICE_URI" \
     --actions push
   
   

Просмотр сайта

Чтобы убедиться, что веб-приложение запущено, откройте https://<website-name>.azurewebsites.netи замените <website-name> имя службы приложений. Вам стоит посмотреть образец приложения для обзора ресторанов. Для загрузки в первый раз может потребоваться несколько минут.

После появления сайта попробуйте добавить ресторан и отправить отзыв, чтобы убедиться, что приложение работает правильно.

Если вы используете Azure CLI локально, вы можете использовать команду az webapp browse , чтобы открыть сайт в браузере по умолчанию:

az webapp browse --name $APP_SERVICE_NAME --resource-group $RESOURCE_GROUP_NAME

Расширение Docker в Visual Studio Code можно использовать для создания и развертывания контейнерного веб-приложения в Службе приложений Azure. Это расширение упрощает процесс упаковки приложения и отправки его в облако. После развертывания используйте расширение Azure Tools для настройки параметров веб-приложения, включая строку подключения MongoDB и секретный ключ приложения.

Изначально настройте и протестируйте приложение с помощью жестко закодированных значений, чтобы убедиться, что он успешно подключается к базе данных MongoDB. Убедившись, что приложение работает, используйте Azure CLI (локально или в Cloud Shell) для создания Azure Key Vault. Затем предоставьте пользователю разрешение на создание приложения в VS Code для хранения конфиденциальной информации, а затем сохраните строку подключения MongoDB и секретный ключ приложения в качестве секретов Key Vault.

Наконец, в Visual Studio Code обновите параметры приложения веб-приложения, чтобы ссылаться на секреты, хранящиеся в Key Vault. Теперь приложение может безопасно получить доступ к значениям конфигурации, не внедряя их непосредственно в код.

Создание веб-приложения

Для выполнения этих действий требуется установка расширения Docker для VS Code.

1. Обновите реестр контейнеров Azure в расширении Docker, чтобы убедиться, что созданный контейнер отображается в разделе REGISTRYIES расширения Docker. Если это не так, щелкните правой кнопкой мыши имя реестра и выберите Обновить.

   

2. Выберите F1 или CTRL+SHIFT+P, чтобы открыть палитру команд, введите "Реестры Docker", а затем выберите задачу Реестры Docker: Развернуть образ в службе приложений Azure....

3. Введите следующие значения, как показано, чтобы развернуть образ:

   • Выбор поставщика реестра: Azure
   • Подписка. Выберите подписку, содержащую созданный ранее реестр контейнеров Azure.
   • Выберите реестр: введите имя реестра, созданного ранее в этом руководстве.
   • Выберите репозиторий: введите имя репозитория msdocscontainerregistryname. Если этот репозиторий не отображается, обновите раздел "REGISTRIES" расширения Docker .
   • Выберите тег: последняя версия тега изображения.
   • Введите глобально уникальное имя веб-приложения: введите имя, которое глобально уникально для службы приложений Azure. Например, если вы используете msdocs-site-name, URL-адрес веб-приложения будет иметь значение http://msdocs-website-name.azurewebsites.net.
   • Выберите группу ресурсов: используйте группу ресурсов, содержащую созданный ранее реестр контейнеров Azure.
   • Выберите план службы приложений Linux: используйте существующий или создайте новый.

4. Просмотрите окно OUTPUT для получения дополнительных сведений о развертывании. Одна из выходных строк — "Предоставление службе приложений разрешения на извлечение образа из ACR...", для этого служба приложений использует управляемое удостоверение для доступа к реестру.

   

   Окончательный сайт https://<app-name>.azurewebsites.net еще не готов, так как необходимо указать сведения MongoDB.

   Заметка

   При развертывании с помощью Visual Studio Code управляемое удостоверение уже установлено для службы приложений для извлечения образов из реестра. Вы можете подтвердить, что управляемая идентификация включена, просмотрев журналы в окне выходных данных и найдя сообщение: "Предоставление разрешения службе приложений на извлечение изображения из ACR...".

Настройка управляемого удостоверения и веб-хук

Во время развертывания с помощью VS Code создается веб-хук, позволяющий веб-приложению извлекать новые образы контейнеров из Azure Container Registry.

1. Проверьте конфигурацию веб-перехватчиков на портале Azure, чтобы подтвердить, что URI службы заканчивается на "/api/registry/webhook". Чтобы просмотреть URI службы, откройте расширение Docker в VS Code и найдите созданный реестр. Щелкните правой кнопкой мыши реестр и выберите Открыть на портале. Реестр контейнеров открывается на портале Azure. Щелкните "Службы " и выберите "Веб-перехватчики". Откройте контекстное меню и нажмите кнопку "Настроить".

   

2. Убедитесь, что URI службы заканчивается на "/api/registry/webhook". Если это не так, добавьте его в конец строки и нажмите кнопку "Сохранить".

Настройка подключения к MongoDB с помощью жестко закодированных значений

На этом шаге вы укажете переменные среды, необходимые для подключения веб-приложения к MongoDB.

1. В представлении Azure в VS Code (из расширения Azure Tools):

   1. Откройте RESOURCES и найдите App Services в вашей подписке. (Убедитесь, что вы просматриваете ресурсы, группируя их по типу .)

   2. Разверните службы приложений и найдите созданное веб-приложение.

   3. Разверните веб-приложение и щелкните правой кнопкой мыши Параметры приложения.

   4. Выберите Добавить новый параметр....

   

2. При каждом добавлении нового параметра диалоговое окно отображается в верхней части окна VS Code, где можно добавить имя параметра, за которым следует его значение. Добавьте следующие параметры:

   • CONNECTION_STRING: строка подключения MongoDB. Далее в этом руководстве вы задали это значение строке подключения, которую вы храните в Azure Key Vault.
   • DB_NAME: restaurants_reviews
   • COLLECTION_NAME: restaurants_reviews
   • WEBSITES_PORT: 8000 для Django и 5000 для Flask. Эта переменная среды указывает порт, на котором контейнер ведет прослушивание.
   • SECRET_KEY: supersecretkeythatispassedtopythonapp. Этот секретный ключ — это случайная строка, используемая Django и Flask для шифрования данных сеанса. Далее в этом руководстве вы задали это значение случайной строке, которую вы храните в Azure Key Vault.

Навигация по сайту с использованием жестко закодированных значений

В представлении Azure в VS Code (из расширения Azure Tools):

1. Откройте RESOURCES и найдите App Services в вашей подписке. (Убедитесь, что вы просматриваете ресурсы, группируя их по типу .)

2. Щелкните правой кнопкой мыши веб-приложение и выберите "Обзор веб-сайта". Если веб-сайт отображает ошибку, подождите несколько минут и повторите попытку. Для запуска веб-приложения может потребоваться несколько минут. См. также Устранение неполадок службы приложений.

Создание Key Vault с авторизацией RBAC

На этом шаге вы создадите Azure Key Vault для хранения строки подключения MongoDB и веб-приложения SECRET_KEY. Azure Key Vault — это безопасная служба для хранения секретов, ключей API, строк подключения и сертификатов. Key Vault настроено использовать управление доступом на основе ролей (RBAC) для управления доступом с помощью ролей Azure вместо традиционных политик доступа. Веб-приложение использует системно назначенное управляемое удостоверение для безопасного получения секретов во время исполнения.

1. Выполните следующую команду Azure CLI, чтобы создать новое хранилище ключей. Эта команда использует bash или PowerShell для создания Key Vault с включенной авторизацией RBAC.

   • Баш
   • PowerShell

   #!/bin/bash
   RESOURCE_GROUP_NAME="msdocs-web-app-rg"
   LOCATION="westus"
   KEYVAULT_NAME="${RESOURCE_GROUP_NAME}-kv"
   
   az keyvault create \
     --name "$KEYVAULT_NAME" \
     --resource-group "$RESOURCE_GROUP_NAME" \
     --location "$LOCATION" \
     --enable-rbac-authorization true
   

Предоставление роли офицера секретов пользователю, вошедшего в систему

Чтобы хранить секреты в Azure Key Vault, пользователь, выполняющий скрипт, должен быть предоставлен роль офицера секретов Key Vault . Эта роль позволяет пользователю создавать и управлять секретными данными в хранилище.

На этом шаге скрипт назначает эту роль пользователю, вошедшего в систему, что позволяет им безопасно хранить конфиденциальные данные приложения, такие как строка подключения MongoDB и SECRET_KEY приложения.

С использованием Azure Role-Based контроля доступа (RBAC) этот подход обеспечивает безопасный и подлежащий аудиту доступ к Key Vault на основе удостоверения личности, исключая необходимость включения учетных данных непосредственно в код или конфигурационные файлы.

1. На этом шаге вы используете команду az role assignment create , чтобы назначить роль в области Key Vault.

   • Баш
   • PowerShell

   #!/bin/bash
   CALLER_ID=$(az ad signed-in-user show --query id -o tsv)
   echo $CALLER_ID # Verify this value retrieved successfully. In production, poll to verify this value is retrieved successfully.
   
   az role assignment create \
     --role "Key Vault Secrets Officer" \
     --assignee "$CALLER_ID" \
     --scope "/subscriptions/$(az account show --query id -o tsv)/resourceGroups/$RESOURCE_GROUP_NAME/providers/Microsoft.KeyVault/vaults/$KEYVAULT_NAME"
   
   

Хранение секретов в Key Vault

Чтобы избежать встраивания секретов в код вашего приложения, на этом шаге вы сохраняете строку подключения MongoDB к экземпляру MongoDB и секретный ключ веб-приложения в Azure Key Vault. Затем к этим секретам может безопасно получить доступ веб-приложение во время выполнения через управляемое удостоверение, без необходимости хранения учетных данных в коде или конфигурации.

1. На этом шаге вы используете команду az cosmosdb keys list для получения строки подключения MongoDB. Затем вы используете команду az keyvault secret set для хранения строки подключения и случайно созданного секретного ключа в Key Vault.

   • Баш
   • PowerShell

   #!/bin/bash
   ACCOUNT_NAME="msdocs-cosmos-db-account-name"
   
   MONGO_CONNECTION_STRING=$(az cosmosdb keys list \
     --name "$ACCOUNT_NAME" \
     --resource-group "$RESOURCE_GROUP_NAME" \
     --type connection-strings \
     --query "connectionStrings[?description=='Primary MongoDB Connection String'].connectionString" -o tsv)
   
   SECRET_KEY=$(openssl rand -base64 32 | tr -dc 'a-zA-Z0-9')
   # This key is cryptographically secure, using OpenSSL’s strong random number generator.
   
   az keyvault secret set \
     --vault-name "$KEYVAULT_NAME" \
     --name "MongoConnectionString" \
     --value "$MONGO_CONNECTION_STRING"
   
   az keyvault secret set \
     --vault-name "$KEYVAULT_NAME" \
     --name "MongoSecretKey" \
     --value "$SECRET_KEY"
   

Предоставьте доступ к хранилищу ключей для управляемого удостоверения веб-приложения.

Веб-приложение должно иметь разрешение на доступ к строке подключения MongoDB и к SECRET_KEY, который хранится в хранилище ключей. Чтобы предоставить эти разрешения, необходимо назначить роль пользователя секретов Key Vaultуправляемому удостоверению, назначаемого системой.

1. На этом шаге вы используете уникальный идентификатор (основной идентификатор) управляемого удостоверения веб-приложения, назначаемого системой, для предоставления веб-приложению доступа к Key Vault с ролью пользователя секретов Key Vault с помощью команды az role assignment create .

   • Баш
   • PowerShell

   #!/bin/bash
     APP_SERVICE_NAME="msdocs-website-name"
     PRINCIPAL_ID=$(az webapp identity show \
       --name "$APP_SERVICE_NAME" \
       --resource-group "$RESOURCE_GROUP_NAME" \
       --query principalId \
       -o tsv)
   echo $PRINCIPAL_ID # Verify this value retrieved successfully. In production, poll for successful 'AcrPull' role assignment using `az role assignment list`.    
   
   az role assignment create \
   --role "Key Vault Secrets User" \
   --assignee "$PRINCIPAL_ID" \
   --scope "/subscriptions/$(az account show --query id -o tsv)/resourceGroups/$RESOURCE_GROUP_NAME/providers/Microsoft.KeyVault/vaults/$KEYVAULT_NAME"
   

Настройка подключения к MongoDB с помощью секретов Key Vault

На этом шаге вы обновите переменные среды, необходимые для подключения к MongoDB, чтобы использовать значения, хранящиеся в хранилище ключей.

1. В представлении Azure в VS Code (из расширения Azure Tools):

   1. Откройте RESOURCES и найдите App Services в вашей подписке. (Убедитесь, что вы просматриваете ресурсы, группируя их по типу .)

   2. Разверните службы приложений, разверните веб-приложение и разверните раздел "Параметры приложения".

   3. Измените следующие параметры:

   • CONNECTION_STRING: @Microsoft.KeyVault(SecretUri=https://msdocs-web-app-rg-kv.vault.azure.net/secrets/MongoConnectionString)
   • СЕКРЕТНЫЙ_КЛЮЧ: @Microsoft.KeyVault(SecretUri=https://$KEYVAULT_NAME.vault.azure.net/secrets/MongoSecretKey)

   Заметка

   Чтобы убедиться, что параметры приложения заданы правильно, можно использовать команду az webapp config appsettings list для перечисления параметров приложения для веб-приложения. Форма команды: az webapp config appsettings list --/<resource-group msdocs-web-app-rg/> --name /<website-name/> Эта команда содержит все параметры приложения для веб-приложения, включая только что заданные.

Перейдите по сайту, используя секреты Key Vault

В представлении Azure в VS Code (из расширения Azure Tools):

1. Откройте RESOURCES и найдите App Services в вашей подписке. (Убедитесь, что вы просматриваете ресурсы, группируя их по типу .)

2. Щелкните правой кнопкой мыши веб-приложение и выберите "Обзор веб-сайта". Если веб-сайт отображает ошибку, подождите несколько минут и повторите попытку. Для запуска веб-приложения может потребоваться несколько минут. См. также Устранение неполадок службы приложений.