Zarządzanie sekretami w Azure Container Apps

1. Przejdź do aplikacji kontenera w portalu Azure.

2. W sekcji Zabezpieczenia wybierz pozycję Wpisy tajne.

3. Wybierz Dodaj.

4. W okienku Dodaj sekret wprowadź następujące informacje:

   • Nazwa: Nazwa sekretu.
   • Typ: wybierz Sekret aplikacji kontenera.
   • Wartość: wartość tajemnicy.

5. Wybierz Dodaj.

Tajne dane są zdefiniowane na poziomie aplikacji w sekcji resources.properties.configuration.secrets.

"resources": [
{
    ...
    "properties": {
        "configuration": {
            "secrets": [
            {
                "name": "queue-connection-string",
                "value": "<MY-CONNECTION-STRING-VALUE>"
            }],
        }
    }
}

W tym miejscu w tablicy secrets zadeklarowany jest łańcuch połączenia do konta magazynu kolejek. W tym przykładzie zastąpisz <MY-CONNECTION-STRING-VALUE> wartością ciągu połączenia.

Podczas tworzenia aplikacji kontenerowej, tajne dane są definiowane przy użyciu parametru --secrets.

• Parametr akceptuje rozdzielany spacjami zestaw par nazwa/wartość.
• Znak równości (=) rozdziela każdą parę.

az containerapp create \
  --resource-group "my-resource-group" \
  --name queuereader \
  --environment "my-environment-name" \
  --image demos/queuereader:v1 \
  --secrets "queue-connection-string=<CONNECTION_STRING>"

W tym miejscu ciąg połączenia (parametry połączenia) do konta magazynu kolejek zostaje zadeklarowany w parametrze --secrets. Zastąp <CONNECTION_STRING> wartością ciągu połączenia.

Podczas tworzenia aplikacji kontenera tajne są definiowane jako jeden lub więcej obiektów tajnych, przekazywanych przez parametr ConfigurationSecrets.

$EnvId = (Get-AzContainerAppManagedEnv -ResourceGroupName my-resource-group -EnvName my-environment-name).Id
$TemplateObj = New-AzContainerAppTemplateObject -Name queuereader -Image demos/queuereader:v1
$SecretObj = New-AzContainerAppSecretObject -Name queue-connection-string -Value $QueueConnectionString

$ContainerAppArgs = @{
    Name = 'my-resource-group'
    Location = '<location>'
    ResourceGroupName = 'my-resource-group'
    ManagedEnvironmentId = $EnvId
    TemplateContainer = $TemplateObj
    ConfigurationSecret = $SecretObj
}

New-AzContainerApp @ContainerAppArgs

W tym miejscu deklaruje się ciąg połączenia do konta magazynu kolejek. Wartość parametru queue-connection-string pochodzi ze zmiennej środowiskowej o nazwie $QueueConnectionString.

1. Przejdź do aplikacji kontenera w portalu Azure.

2. W sekcji Zabezpieczenia wybierz pozycję Tożsamość.

3. Na zakładce przypisanej przez system ustaw stan na włączone.

1. Wybierz pozycję Zapisz , aby włączyć tożsamość zarządzaną przypisaną przez system.

2. Zostanie wyświetlone okno podręczne z potwierdzeniem, że chcesz włączyć tożsamość zarządzaną przypisaną przez system i zarejestrować aplikację kontenera przy użyciu Microsoft Entra ID. Wybierz opcję Tak.

3. W sekcji Zabezpieczenia wybierz pozycję Wpisy tajne.

4. Wybierz Dodaj.

5. W okienku Dodaj sekret wprowadź następujące informacje:

   • Nazwa: Nazwa sekretu.
   • Type: Wybierz odwołanie do Key Vault.
   • Key Vault tajny adres URL: identyfikator URI wpisu tajnego w Key Vault. Ten identyfikator URI ma następującą postać: https://<YOUR_KEY_VAULT_NAME>.vault.azure.net/secrets/<YOUR_SECRET_NAME>/<32_DIGIT_HEX_ID>
   • Tożsamość: wybierz opcję Przypisane przez system.

6. Wybierz Dodaj.

Tajne dane są zdefiniowane na poziomie aplikacji w sekcji resources.properties.configuration.secrets.

"resources": [
{
    ...
    "properties": {
        "configuration": {
            "secrets": [
            {
                "name": "queue-connection-string",
                "keyVaultUrl": "<KEY_VAULT_SECRET_URI>",
                "identity": "system"
            }],
        }
    }
}

W tym miejscu w tablicy secrets zadeklarowany jest łańcuch połączenia do konta magazynu kolejek. Jego wartość jest automatycznie pobierana z Key Vault przy użyciu określonej tożsamości. Aby użyć tożsamości zarządzanej przez użytkownika, zastąp element system identyfikatorem zasobu tożsamości.

Zastąp <KEY_VAULT_SECRET_URI> URI swojego sekretu w Key Vault.

Podczas tworzenia aplikacji kontenerowej, tajne dane są definiowane przy użyciu parametru --secrets.

• Parametr akceptuje rozdzielany spacjami zestaw par nazwa/wartość.
• Znak równości (=) rozdziela każdą parę.
• Aby określić odwołanie Key Vault, użyj formatu <SECRET_NAME>=keyvaultref:<KEY_VAULT_SECRET_URI>,identityref:<MANAGED_IDENTITY_ID>. Na przykład queue-connection-string=keyvaultref:https://mykeyvault.vault.azure.net/secrets/queuereader,identityref:/subscriptions/ffffffff-eeee-dddd-cccc-bbbbbbbbbbb0/resourcegroups/my-resource-group/providers/Microsoft.ManagedIdentity/userAssignedIdentities/my-identity.

az containerapp create \
  --resource-group "my-resource-group" \
  --name queuereader \
  --environment "my-environment-name" \
  --image demos/queuereader:v1 \
  --user-assigned "<USER_ASSIGNED_IDENTITY_ID>" \
  --secrets "queue-connection-string=keyvaultref:<KEY_VAULT_SECRET_URI>,identityref:<USER_ASSIGNED_IDENTITY_ID>"

W tym miejscu ciąg połączenia (parametry połączenia) do konta magazynu kolejek zostaje zadeklarowany w parametrze --secrets. Zastąp <KEY_VAULT_SECRET_URI> URI swojego sekretu w Key Vault. Zastąp <USER_ASSIGNED_IDENTITY_ID> element identyfikatorem zasobu tożsamości przypisanej przez użytkownika.

Odwołania do tajemnic Key Vault nie są obsługiwane w środowisku PowerShell.

Po zdefiniowaniu sekretu w aplikacji kontenera można odwoływać się do niego w zmiennej środowiskowej podczas tworzenia nowej poprawki.

1. Przejdź do aplikacji kontenera w portalu Azure.

2. W sekcji Aplikacja wybierz pozycję Poprawki i repliki.

3. Na stronie Poprawki i repliki wybierz pozycję Utwórz nową poprawkę.

4. Na stronie Tworzenie i wdrażanie nowej poprawki na karcie Kontener w sekcji Obraz kontenera wybierz kontener.

5. Zaznacz Edytuj.

6. W okienku Edytowanie kontekstu kontenera wybierz kartę Zmienne środowiskowe .

7. Wybierz Dodaj.

8. Wprowadź następujące informacje:

   • Nazwa: nazwa zmiennej środowiskowej.
   • Źródło: Wybierz Odwołaj się do sekretu.
   • Wartość: wybierz zdefiniowany wcześniej sekret.

9. Wybierz pozycję Zapisz.

10. Na stronie Tworzenie i wdrażanie nowej poprawki wybierz pozycję Utwórz, aby utworzyć nową poprawkę.

W tym przykładzie ciąg połączenia aplikacji jest zadeklarowany jako queue-connection-string i staje się dostępny w innych miejscach sekcji konfiguracji.

{
    "$schema": "https://schema.management.azure.com/schemas/2019-08-01/deploymentTemplate.json#",
    "contentVersion": "1.0.0.0",
    "parameters": {
        "location": {
            "type": "String"
        },
        "environment_id": {
            "type": "String"
        },
        "key_vault_secret_uri": { ⬅️
            "type": "String"      ⬅️
        }                         ⬅️
    },
    "variables": {},
    "resources": [
    {
        "name": "queuereader",
        "type": "Microsoft.App/containerApps",
        "apiVersion": "2022-03-01",
        "kind": "containerapp",
        "location": "[parameters('location')]",
        "properties": {
            "managedEnvironmentId": "[parameters('environment_id')]",
            "configuration": {
                "activeRevisionsMode": "single",
                "secrets": [                                              ⬅️
                {                                                         ⬅️
                    "name": "queue-connection-string",                    ⬅️
                    "keyVaultUrl": "[parameters('key_vault_secret_uri')", ⬅️
                    "identity": "system"                                  ⬅️ 
                }]                                                        ⬅️
            },
            "template": {
                "containers": [
                    {
                        "image": "myregistry/myQueueApp:v1",
                        "name": "myQueueApp",
                        "env": [
                            {
                                "name": "QueueName",
                                "value": "myqueue"
                            },
                            {
                                "name": "ConnectionString",            ⬅️
                                "secretRef": "queue-connection-string" ⬅️
                            }
                        ]
                    }
                ],
                "scale": {
                    "minReplicas": 0,
                    "maxReplicas": 10,
                    "rules": [
                        {
                            "name": "myqueuerule",
                            "azureQueue": {
                                "queueName": "demoqueue",
                                "queueLength": 100,
                                "auth": [
                                    {
                                        "secretRef": "queue-connection-string", ⬅️
                                        "triggerParameter": "connection"        ⬅️
                                    }
                                ]
                            }
                        }
                    ]
                }
            }
        }
    }]
}

W tym miejscu zmienna środowiskowa o nazwie connection-string pobiera swoją wartość z sekretu na poziomie queue-connection-string aplikacji. Ponadto konfiguracja uwierzytelniania reguły skalowania Azure Queue Storage używa tajnego klucza queue-connection-string do zdefiniowania połączenia.

Aby uniknąć zatwierdzania wartości tajnych do kontroli źródła przy użyciu szablonu ARM, przekaż je jako parametry szablonu ARM.

W tym przykładzie utworzysz aplikację kontenerową przy użyciu Azure CLI z sekretem, do którego odwołuje się zmienna środowiskowa. Aby odwołać się do wpisu tajnego w zmiennej środowiskowej w Azure CLI, ustaw jej wartość na secretref:, a następnie nazwę wpisu tajnego.

az containerapp create \
  --resource-group "my-resource-group" \
  --name myQueueApp \
  --environment "my-environment-name" \
  --image demos/myQueueApp:v1 \
  --user-assigned "<USER_ASSIGNED_IDENTITY_ID>" \
  --secrets "queue-connection-string=keyvaultref:<KEY_VAULT_SECRET_URI>,identityref:<USER_ASSIGNED_IDENTITY_ID>" \
  --env-vars "QueueName=myqueue" "ConnectionString=secretref:queue-connection-string"

W tym miejscu zmienna środowiskowa o nazwie connection-string pobiera swoją wartość z sekretu na poziomie queue-connection-string aplikacji.

Odwołania do tajemnic Key Vault nie są obsługiwane w środowisku PowerShell.

W tym przykładzie utworzysz kontener przy użyciu Azure PowerShell z wpisem tajnym, do którego odwołuje się zmienna środowiskowa. Aby odwołać się do wpisu tajnego w zmiennej środowiskowej w programie PowerShell, ustaw jej wartość na secretref:, a następnie nazwę wpisu tajnego.

$EnvId = (Get-AzContainerAppManagedEnv -ResourceGroupName my-resource-group -EnvName my-environment-name).Id

$SecretObj = New-AzContainerAppSecretObject -Name queue-connection-string -Value $QueueConnectionString
$EnvVarObjQueue = New-AzContainerAppEnvironmentVarObject -Name QueueName -Value myqueue
$EnvVarObjConn = New-AzContainerAppEnvironmentVarObject -Name ConnectionString -SecretRef queue-connection-string -Value secretref
$TemplateObj = New-AzContainerAppTemplateObject -Name myQueueApp -Image demos/myQueueApp:v1 -Env $EnvVarObjQueue, $EnvVarObjConn

$ContainerAppArgs = @{
    Name = 'myQueueApp'
    Location = '<location>'
    ResourceGroupName = 'my-resource-group'
    ManagedEnvironmentId = $EnvId
    TemplateContainer = $TemplateObj
    ConfigurationSecret = $SecretObj
}

New-AzContainerApp @ContainerAppArgs

W tym miejscu zmienna środowiskowa o nazwie ConnectionString pobiera swoją wartość z sekretu na poziomie $QueueConnectionString aplikacji.

Po zdefiniowaniu tajemnicy w aplikacji kontenera, można się do niej odwoływać podczas montażu woluminu, kiedy tworzysz nową rewizję.

1. Przejdź do aplikacji kontenera w portalu Azure.

2. W sekcji Aplikacja wybierz pozycję Poprawki i repliki.

3. Na stronie Poprawki i repliki wybierz pozycję Utwórz nową poprawkę.

4. Na stronie Tworzenie i wdrażanie nowej poprawki na karcie Kontener w sekcji Obraz kontenera wybierz kontener.

5. Zaznacz Edytuj.

6. W okienku Edytowanie kontenera wybierz kartę Montowanie woluminów .

7. Wybierz pozycję Utwórz nowy wolumin.

8. W okienku kontekstowym Dodaj wolumin wprowadź następujące informacje:

   • Typ woluminu: wybierz pozycję Secret.
   • Nazwa: mysecrets
   • Zamontuj wszystkie sekrety: włączone

   Uwaga

   Jeśli chcesz załadować określone tajemnice, wyłącz opcję Zamontuj wszystkie tajemnice i wybierz tajemnice, które chcesz załadować.

9. Wybierz Dodaj.

10. W okienku Edytowanie kontekstu kontenera w obszarze Nazwa woluminu wybierz pozycję mysecrets.

11. W obszarze Ścieżka montowania wprowadź /mnt/secrets.

12. Wybierz pozycję Zapisz.

13. Na stronie Tworzenie i wdrażanie nowej rewizji wybierz pozycję Utwórz, aby utworzyć nową rewizję z montowaniem woluminu.

W tym przykładzie dwa sekrety są deklarowane na poziomie aplikacji. Te sekrety są zamontowane w woluminie o nazwie mysecrets typu Secret. Wolumin jest instalowany w ścieżce /mnt/secrets. Następnie aplikacja może odwoływać się do wpisów tajnych w instalacji woluminu.

{
    "$schema": "https://schema.management.azure.com/schemas/2019-08-01/deploymentTemplate.json#",
    "contentVersion": "1.0.0.0",
    "parameters": {
        "location": {
            "type": "String"
        },
        "environment_id": {
            "type": "String"
        },
        "key_vault_secret_uri": {
            "type": "Securestring"
        },
        "api-key": {
            "type": "Securestring"
        }
    },
    "variables": {},
    "resources": [
    {
        "name": "queuereader",
        "type": "Microsoft.App/containerApps",
        "apiVersion": "2022-11-01-preview",
        "kind": "containerapp",
        "location": "[parameters('location')]",
        "properties": {
            "managedEnvironmentId": "[parameters('environment_id')]",
            "configuration": {
                "activeRevisionsMode": "single",
                "secrets": [
                    {
                        "name": "queue-connection-string",
                        "keyVaultUrl": "[parameters('key_vault_secret_uri')",
                        "identity": "system"
                    },
                    {
                        "name": "api-key",
                        "value": "[parameters('api-key')]"
                    }
                ]
            },
            "template": {
                "containers": [
                    {
                        "image": "myregistry/myQueueApp:v1",
                        "name": "myQueueApp",
                        "volumeMounts": [
                            {
                                "name": "mysecrets",
                                "mountPath": "/mnt/secrets"
                            }
                        ]
                    }
                ],
                "volumes": [
                    {
                        "name": "mysecrets",
                        "storageType": "Secret"
                    }
                ]
            }
        }
    }]
}

Aby załadować określone wpisy tajne i określić ich ścieżki w zainstalowanym woluminie, należy zdefiniować wpisy tajne w secrets tablicy obiektu woluminu. W poniższym przykładzie pokazano, jak załadować tylko queue-connection-string tajemnicę w montażu wolumenu mysecrets o nazwie pliku connection-string.txt.

{
    "properties": {
        ...
        "configuration": {
            ...
            "secrets": [
                {
                    "name": "queue-connection-string",
                    "keyVaultUrl": "[parameters('key_vault_secret_uri')",
                    "identity": "system"
                },
                {
                    "name": "api-key",
                    "value": "[parameters('api-key')]"
                }
            ]
        },
        "template": {
            "containers": [
                {
                    "image": "myregistry/myQueueApp:v1",
                    "name": "myQueueApp",
                    "volumeMounts": [
                        {
                            "name": "mysecrets",
                            "mountPath": "/mnt/secrets"
                        }
                    ]
                }
            ],
            "volumes": [
                {
                    "name": "mysecrets",
                    "storageType": "Secret",
                    "secrets": [
                        {
                            "secretRef": "queue-connection-string",
                            "path": "connection-string.txt"
                        }
                    ]
                }
            ]
        }
        ...
    }
    ...
}

W aplikacji możesz odczytać sekret z pliku zlokalizowanego w /mnt/secrets/connection-string.txt.

W tym przykładzie dwa sekrety są deklarowane na poziomie aplikacji. Te sekrety są zamontowane w woluminie o nazwie mysecrets typu Secret. Wolumin jest instalowany w ścieżce /mnt/secrets. Aplikacja może następnie odczytywać wpisy tajne jako pliki w instalacji woluminu.

az containerapp create \
  --resource-group "my-resource-group" \
  --name myQueueApp \
  --environment "my-environment-name" \
  --image demos/myQueueApp:v1 \
  --user-assigned "<USER_ASSIGNED_IDENTITY_ID>" \
  --secrets "queue-connection-string=keyvaultref:<KEY_VAULT_SECRET_URI>,identityref:<USER_ASSIGNED_IDENTITY_ID>" "api-key=$API_KEY" \
  --secret-volume-mount "/mnt/secrets"

Aby załadować określone wpisy tajne i określić ich ścieżki w zainstalowanym woluminie, zdefiniuj aplikację przy użyciu kodu YAML.

Instalowanie wpisów tajnych jako woluminu nie jest obsługiwane w programie PowerShell.