Configure Functions hospeda armazenamento de chaves no Azure Container Apps

A loja secreta Container Apps usa uma convenção diferente. O host das Functions lê as chaves a partir de ficheiros montados em volume em /run/secrets/functions-keys/. Cada ficheiro usa um nome pontilhado (por exemplo, host.master), mas os nomes secretos das Aplicações de Contentor só permitem caracteres alfanuméricos minúsculos e traços. Quando monta um volume secreto, deve definir explicitamente o path campo para o nome do ficheiro pontilhado que o anfitrião Functions espera (por exemplo, secretRef: host-master → path: host.master). A plataforma não realiza qualquer tradução automática de nomes.

O backend Key Vault armazena cada chave como um segredo individual de Key Vault usando uma convenção de duplo hífen (--):

O backend Armazenamento de Blobs armazena chaves como ficheiros JSON no contentor de blob azure-webjobs-secrets. Todas as chaves ao nível do host (mestre, chaves de função e chaves do sistema) são armazenadas juntas numa única host.json bolha. As chaves por função são armazenadas em blobs separados nomeados em referência a cada função.

1. Acede à tua aplicação de contêiner de Funções no portal Azure.

2. Em Definições, selecione variáveis de Ambiente.

3. Selecione Adicionar e introduza os seguintes valores:

   Property	Value
   Nome	AzureWebJobsSecretStorageType
   Value	containerapps

4. Selecione Guardar e depois selecione Aplicar para confirmar as alterações.

az containerapp update \
  --resource-group "<RESOURCE_GROUP>" \
  --name "<FUNCTIONS_APP_NAME>" \
  --set-env-vars "AzureWebJobsSecretStorageType=containerapps"

1. Na tua aplicação contentor de Funções, em Definições, seleciona Segredos.

2. Selecione Adicionar e insira os seguintes valores:

   Property	Value
   Nome	host-master
   Type	Segredo de Container Apps
   Value	Um valor-chave gerado aleatoriamente.

3. Selecione Adicionar.

4. Repete para host-function-default com outro valor gerado aleatoriamente.

5. Para adicionar uma tecla por função, adicione um segredo chamado functions-<functionname>-default (tudo em minúsculas).

# Generate random key values
MASTER_KEY=$(openssl rand -hex 32)
HOST_DEFAULT_KEY=$(openssl rand -hex 32)

# Store as Container Apps secrets
az containerapp secret set \
  --resource-group "<RESOURCE_GROUP>" \
  --name "<FUNCTIONS_APP_NAME>" \
  --secrets "host-master=$MASTER_KEY" "host-function-default=$HOST_DEFAULT_KEY"

Para adicionar uma tecla por função (por exemplo, para uma função chamada MyHttpFunc):

FUNC_KEY=$(openssl rand -hex 32)

az containerapp secret set \
  --resource-group "<RESOURCE_GROUP>" \
  --name "<FUNCTIONS_APP_NAME>" \
  --secrets "functions-myhttpfunc-default=$FUNC_KEY"

1. Na tua aplicação contentor de Funções, em Aplicação, seleciona Revisões e réplicas.

2. Selecione Criar nova revisão.

3. No separador Escala e volumes , em Volumes, selecione Adicionar.

4. Insira os seguintes valores:

   Property	Value
   Tipo de volume	Segredo
   Nome	functions-keys

5. Para cada segredo, defina o campo Path para o nome do ficheiro pontilhado que o anfitrião Functions espera (por exemplo, defina host-master para path host.master, e host-function-default para path host.function.default).

6. Selecione Adicionar.

7. No separador Contentor , selecione o seu contentor e depois selecione Editar.

8. Selecione a aba montagens de volume e selecione Adicionar.

9. Insira os seguintes valores:

   Property	Value
   Nome do volume	functions-keys
   Caminho de montagem	/run/secrets/functions-keys

10. Selecione Guardar e depois selecione Criar para implementar a nova revisão.

Exporte o YAML da sua aplicação, adicione o volume e a montagem de volume e depois aplique as alterações:

# Export current config
az containerapp show \
  --resource-group "<RESOURCE_GROUP>" \
  --name "<FUNCTIONS_APP_NAME>" \
  --output yaml > app.yaml

Edite app.yaml para adicionar o volume e a montagem de volume nas secções apropriadas.

properties:
  template:
    volumes:
      - name: functions-keys
        storageType: Secret
        secrets:
          - secretRef: host-master
            path: host.master
          - secretRef: host-function-default
            path: host.function.default
    containers:
      - name: <CONTAINER_NAME>
        volumeMounts:
          - volumeName: functions-keys
            mountPath: /run/secrets/functions-keys

Aplique a configuração atualizada:

az containerapp update \
  --resource-group "<RESOURCE_GROUP>" \
  --name "<FUNCTIONS_APP_NAME>" \
  --yaml app.yaml

O backend do Key Vault armazena as chaves de acesso como segredos do Key Vault, proporcionando auditoria e controlo de acesso de nível empresarial.

1. Crie um Key Vault (se não tiver um):

   az keyvault create \
     --name "<KEYVAULT_NAME>" \
     --resource-group "<RESOURCE_GROUP>" \
     --location "<LOCATION>"
   

2. Ative a identidade gerida na sua aplicação de contentores (se ainda não estiver ativada):

   az containerapp identity assign \
     --resource-group "<RESOURCE_GROUP>" \
     --name "<FUNCTIONS_APP_NAME>" \
     --system-assigned
   

3. Conceda o papel de Oficial de Segredos do Cofre de Chaves à identidade gerida. O runtime necessita de acesso de leitura e escrita para criar e gerir chaves:

   PRINCIPAL_ID=$(az containerapp show \
     --resource-group "<RESOURCE_GROUP>" \
     --name "<FUNCTIONS_APP_NAME>" \
     --query identity.principalId \
     --output tsv)
   
   KEYVAULT_ID=$(az keyvault show \
     --name "<KEYVAULT_NAME>" \
     --query id \
     --output tsv)
   
   az role assignment create \
     --role "Key Vault Secrets Officer" \
     --assignee "$PRINCIPAL_ID" \
     --scope "$KEYVAULT_ID"
   

4. Defina o tipo de armazenamento e o URI do Key Vault:

   Para a identidade atribuída ao sistema:

   az containerapp update \
     --resource-group "<RESOURCE_GROUP>" \
     --name "<FUNCTIONS_APP_NAME>" \
     --set-env-vars \
       "AzureWebJobsSecretStorageType=keyvault" \
       "AzureWebJobsSecretStorageKeyVaultUri=https://<KEYVAULT_NAME>.vault.azure.net"
   

   Para a identidade atribuída pelo utilizador, defina também o ID do cliente:

   az containerapp update \
     --resource-group "<RESOURCE_GROUP>" \
     --name "<FUNCTIONS_APP_NAME>" \
     --set-env-vars \
       "AzureWebJobsSecretStorageType=keyvault" \
       "AzureWebJobsSecretStorageKeyVaultUri=https://<KEYVAULT_NAME>.vault.azure.net" \
       "AzureWebJobsSecretStorageKeyVaultClientId=<USER_ASSIGNED_IDENTITY_CLIENT_ID>"
   

5. Desencadear a criação de chaves ao listar chaves:

   az containerapp function keys list \
     --resource-group "<RESOURCE_GROUP>" \
     --name "<FUNCTIONS_APP_NAME>" \
     --key-type hostKey
   

O backend do Armazenamento de Blobs permite ao runtime gerar e gerir automaticamente chaves de acesso. Use esta opção quando já tiver uma conta AzureWebJobsStorage de armazenamento e não precisar de governação centralizada.

1. Ative a identidade gerida na sua aplicação de contentores (se ainda não estiver ativada):

   az containerapp identity assign \
     --resource-group "<RESOURCE_GROUP>" \
     --name "<FUNCTIONS_APP_NAME>" \
     --system-assigned
   

2. Conceda a função Contribuidor de Dados do Blob de Armazenamento na conta de armazenamento à identidade gerida:

   PRINCIPAL_ID=$(az containerapp show \
     --resource-group "<RESOURCE_GROUP>" \
     --name "<FUNCTIONS_APP_NAME>" \
     --query identity.principalId \
     --output tsv)
   
   STORAGE_ID=$(az storage account show \
     --name "<STORAGE_ACCOUNT_NAME>" \
     --resource-group "<RESOURCE_GROUP>" \
     --query id \
     --output tsv)
   
   az role assignment create \
     --role "Storage Blob Data Contributor" \
     --assignee "$PRINCIPAL_ID" \
     --scope "$STORAGE_ID"
   

3. Defina o tipo de armazenamento:

   az containerapp update \
     --resource-group "<RESOURCE_GROUP>" \
     --name "<FUNCTIONS_APP_NAME>" \
     --set-env-vars "AzureWebJobsSecretStorageType=blob"
   

4. O runtime gera as chaves automaticamente no próximo arranque a frio. Verificar:

   az containerapp function keys list \
     --resource-group "<RESOURCE_GROUP>" \
     --name "<FUNCTIONS_APP_NAME>" \
     --key-type hostKey