Configurar o armazenamento de chaves do host do Functions no Aplicativos de Contêiner do Azure

O repositório secreto de Aplicativos de Contêiner usa uma convenção diferente. O host do Functions lê chaves de arquivos montados em volume em /run/secrets/functions-keys/. Cada arquivo usa um nome pontilhado (por exemplo), host.mastermas os nomes secretos dos Aplicativos de Contêiner permitem apenas caracteres alfanuméricos minúsculos e traços. Ao montar um volume secreto, você deve definir explicitamente o path campo como o nome do arquivo pontilhado que o host do Functions espera (por exemplo, secretRef: host-master → path: host.master). A plataforma não executa nenhuma tradução automática de nome.

O back-end do Key Vault armazena cada chave como um segredo de Key Vault individual usando uma convenção de traço duplo (--):

O back-end Armazenamento de Blobs armazena chaves como arquivos JSON no contêiner de blob azure-webjobs-secrets. Todas as chaves no nível do host (mestre, chaves de função e chaves do sistema) são armazenadas juntas em um único host.json blob. As chaves por função são armazenadas em blobs separados com o nome de cada função.

1. Acesse seu aplicativo de contêiner do Functions no Azure portal.

2. Em Configurações, selecione Variáveis de ambiente.

3. Selecione Adicionar e insira os seguintes valores:

   Property	Valor
   Nome	AzureWebJobsSecretStorageType
   Valor	containerapps

4. Selecione Salvar e, em seguida, selecione Aplicar para confirmar as alterações.

az containerapp update \
  --resource-group "<RESOURCE_GROUP>" \
  --name "<FUNCTIONS_APP_NAME>" \
  --set-env-vars "AzureWebJobsSecretStorageType=containerapps"

1. Em seu aplicativo de contêiner do Functions, em Configurações, selecione Segredos.

2. Selecione Adicionar e insira os seguintes valores:

   Property	Valor
   Nome	host-master
   Type	Segredo dos Aplicativos de Contêiner
   Valor	Um valor de chave gerado aleatoriamente.

3. Selecione Adicionar.

4. Repita para host-function-default com outro valor gerado aleatoriamente.

5. Para adicionar uma chave por função, adicione um segredo chamado functions-<functionname>-default (todas minúsculas).

# Generate random key values
MASTER_KEY=$(openssl rand -hex 32)
HOST_DEFAULT_KEY=$(openssl rand -hex 32)

# Store as Container Apps secrets
az containerapp secret set \
  --resource-group "<RESOURCE_GROUP>" \
  --name "<FUNCTIONS_APP_NAME>" \
  --secrets "host-master=$MASTER_KEY" "host-function-default=$HOST_DEFAULT_KEY"

Para adicionar uma chave por função (por exemplo, para uma função chamada MyHttpFunc):

FUNC_KEY=$(openssl rand -hex 32)

az containerapp secret set \
  --resource-group "<RESOURCE_GROUP>" \
  --name "<FUNCTIONS_APP_NAME>" \
  --secrets "functions-myhttpfunc-default=$FUNC_KEY"

1. Em seu aplicativo de contêiner do Functions, em Aplicativo, selecione Revisões e réplicas.

2. Selecione Criar nova revisão.

3. Na guia Escala e volumes , em Volumes, selecione Adicionar.

4. Insira os valores a seguir:

   Property	Valor
   Tipo de volume	Segredo
   Nome	functions-keys

5. Para cada segredo, defina o campo Caminho como o nome do arquivo pontilhado que o host do Functions espera (por exemplo, definido host-master como caminho host.mastere host-function-default caminho host.function.default).

6. Selecione Adicionar.

7. Na guia Contêiner , selecione seu contêiner e, em seguida, selecione Editar.

8. Selecione a guia Montagens de volume e selecione Adicionar.

9. Insira os valores a seguir:

   Property	Valor
   Nome do volume	functions-keys
   Caminho de montagem	/run/secrets/functions-keys

10. Selecione Salvar e, em seguida, selecione Criar para implantar a nova revisão.

Exporte o YAML do aplicativo, adicione o volume e a montagem do volume e aplique:

# Export current config
az containerapp show \
  --resource-group "<RESOURCE_GROUP>" \
  --name "<FUNCTIONS_APP_NAME>" \
  --output yaml > app.yaml

Edite app.yaml para adicionar o volume e a montagem de volume nas seções apropriadas:

properties:
  template:
    volumes:
      - name: functions-keys
        storageType: Secret
        secrets:
          - secretRef: host-master
            path: host.master
          - secretRef: host-function-default
            path: host.function.default
    containers:
      - name: <CONTAINER_NAME>
        volumeMounts:
          - volumeName: functions-keys
            mountPath: /run/secrets/functions-keys

Aplique a configuração atualizada:

az containerapp update \
  --resource-group "<RESOURCE_GROUP>" \
  --name "<FUNCTIONS_APP_NAME>" \
  --yaml app.yaml

O back-end do Key Vault armazena as chaves de acesso como os segredos do Key Vault, fornecendo auditoria de padrão corporativo e controle de acesso.

1. Crie um Key Vault (se você não tiver um):

   az keyvault create \
     --name "<KEYVAULT_NAME>" \
     --resource-group "<RESOURCE_GROUP>" \
     --location "<LOCATION>"
   

2. Habilitar a identidade gerenciada em seu aplicativo de contêiner (se ainda não estiver habilitado):

   az containerapp identity assign \
     --resource-group "<RESOURCE_GROUP>" \
     --name "<FUNCTIONS_APP_NAME>" \
     --system-assigned
   

3. Conceda a função Key Vault Secrets Officer à identidade gerenciada. O runtime precisa de acesso de leitura e gravação para criar e gerenciar chaves:

   PRINCIPAL_ID=$(az containerapp show \
     --resource-group "<RESOURCE_GROUP>" \
     --name "<FUNCTIONS_APP_NAME>" \
     --query identity.principalId \
     --output tsv)
   
   KEYVAULT_ID=$(az keyvault show \
     --name "<KEYVAULT_NAME>" \
     --query id \
     --output tsv)
   
   az role assignment create \
     --role "Key Vault Secrets Officer" \
     --assignee "$PRINCIPAL_ID" \
     --scope "$KEYVAULT_ID"
   

4. Defina o tipo de armazenamento e Key Vault URI:

   Para identidade atribuída pelo sistema:

   az containerapp update \
     --resource-group "<RESOURCE_GROUP>" \
     --name "<FUNCTIONS_APP_NAME>" \
     --set-env-vars \
       "AzureWebJobsSecretStorageType=keyvault" \
       "AzureWebJobsSecretStorageKeyVaultUri=https://<KEYVAULT_NAME>.vault.azure.net"
   

   Para a identidade atribuída pelo usuário, defina também a ID do cliente:

   az containerapp update \
     --resource-group "<RESOURCE_GROUP>" \
     --name "<FUNCTIONS_APP_NAME>" \
     --set-env-vars \
       "AzureWebJobsSecretStorageType=keyvault" \
       "AzureWebJobsSecretStorageKeyVaultUri=https://<KEYVAULT_NAME>.vault.azure.net" \
       "AzureWebJobsSecretStorageKeyVaultClientId=<USER_ASSIGNED_IDENTITY_CLIENT_ID>"
   

5. Iniciar a criação de chaves listando-as:

   az containerapp function keys list \
     --resource-group "<RESOURCE_GROUP>" \
     --name "<FUNCTIONS_APP_NAME>" \
     --key-type hostKey
   

O Armazenamento de Blobs back-end permite que o runtime gere e gerencie automaticamente as chaves de acesso. Use essa opção quando você já tiver uma conta AzureWebJobsStorage de armazenamento e não precisar de governança centralizada.

1. Habilitar a identidade gerenciada em seu aplicativo de contêiner (se ainda não estiver habilitado):

   az containerapp identity assign \
     --resource-group "<RESOURCE_GROUP>" \
     --name "<FUNCTIONS_APP_NAME>" \
     --system-assigned
   

2. Conceder a função Colaborador de Dados do Armazenamento de Blobs na conta de armazenamento para a identidade gerenciada:

   PRINCIPAL_ID=$(az containerapp show \
     --resource-group "<RESOURCE_GROUP>" \
     --name "<FUNCTIONS_APP_NAME>" \
     --query identity.principalId \
     --output tsv)
   
   STORAGE_ID=$(az storage account show \
     --name "<STORAGE_ACCOUNT_NAME>" \
     --resource-group "<RESOURCE_GROUP>" \
     --query id \
     --output tsv)
   
   az role assignment create \
     --role "Storage Blob Data Contributor" \
     --assignee "$PRINCIPAL_ID" \
     --scope "$STORAGE_ID"
   

3. Defina o tipo de armazenamento:

   az containerapp update \
     --resource-group "<RESOURCE_GROUP>" \
     --name "<FUNCTIONS_APP_NAME>" \
     --set-env-vars "AzureWebJobsSecretStorageType=blob"
   

4. O runtime gera automaticamente as chaves na próxima inicialização a frio. Verificar:

   az containerapp function keys list \
     --resource-group "<RESOURCE_GROUP>" \
     --name "<FUNCTIONS_APP_NAME>" \
     --key-type hostKey