Konfigurera lagring av Funktioner-värdnycklar på Azure Container Apps

Hemlighetslagret i Container Apps använder en annan konvention. Functions-värden läser nycklar från volymmonterade filer på /run/secrets/functions-keys/. Varje fil använder ett prickat namn (till exempel host.master), men Container Apps hemliga namn tillåter endast alfanumeriska gemener och bindestreck. När du monterar en hemlig volym måste du uttryckligen path ange fältet till det streckade filnamnet som Functions-värden förväntar sig (till exempel secretRef: host-master → path: host.master). Plattformen utför ingen automatisk namnöversättning.

I Key Vault-serverdelen lagras varje nyckel som en enskild Key Vault hemlighet med hjälp av en dubbelstreckskonvention (--):

Blob Storage-serverdelen lagrar nycklar som JSON-filer i blobcontainern azure-webjobs-secrets. Alla nycklar på värdnivå (huvudnycklar, funktionsnycklar och systemnycklar) lagras tillsammans i en enda host.json blob. Nycklar per funktion lagras i separata blobar med namnet efter varje funktion.

1. Gå till din Functions-containerapp i Azure-portalen.

2. Under Inställningar väljer du Miljövariabler.

3. Välj Lägg till och ange följande värden:

   Fastighet	Value
   Namn	AzureWebJobsSecretStorageType
   Value	containerapps

4. Välj Spara och välj sedan Använd för att bekräfta ändringarna.

az containerapp update \
  --resource-group "<RESOURCE_GROUP>" \
  --name "<FUNCTIONS_APP_NAME>" \
  --set-env-vars "AzureWebJobsSecretStorageType=containerapps"

1. I din Functions-containerapp går du till Inställningar och väljer Hemligheter.

2. Välj Lägg till och ange följande värden:

   Fastighet	Value
   Namn	host-master
   Type	Hemlighet för Container-appar
   Value	Ett slumpmässigt genererat nyckelvärde.

3. Välj Lägg till.

4. Upprepa för host-function-default med ett annat slumpmässigt genererat värde.

5. För att lägga till en funktionsspecifik nyckel, lägg till en hemlighet med namnet functions-<functionname>-default (alla gemener).

# Generate random key values
MASTER_KEY=$(openssl rand -hex 32)
HOST_DEFAULT_KEY=$(openssl rand -hex 32)

# Store as Container Apps secrets
az containerapp secret set \
  --resource-group "<RESOURCE_GROUP>" \
  --name "<FUNCTIONS_APP_NAME>" \
  --secrets "host-master=$MASTER_KEY" "host-function-default=$HOST_DEFAULT_KEY"

Så här lägger du till en per funktionsnyckel (till exempel för en funktion med namnet MyHttpFunc):

FUNC_KEY=$(openssl rand -hex 32)

az containerapp secret set \
  --resource-group "<RESOURCE_GROUP>" \
  --name "<FUNCTIONS_APP_NAME>" \
  --secrets "functions-myhttpfunc-default=$FUNC_KEY"

1. I din Functions-containerapp går du till Programoch väljer Revisioner och repliker.

2. Välj Skapa ny revision.

3. På fliken Skala och volymer går du till Volymer och väljer Lägg till.

4. Ange följande värden:

   Fastighet	Value
   Volymtyp	Hemlighet
   Namn	functions-keys

5. För varje hemlighet anger du fältet Sökväg till det streckade filnamnet som Functions-värden förväntar sig (till exempel inställt host-master på sökväg host.masteroch host-function-default sökväg host.function.default).

6. Välj Lägg till.

7. På fliken Container väljer du din container och väljer sedan Redigera.

8. Välj fliken Volymmonteringar och välj Lägg till.

9. Ange följande värden:

   Fastighet	Value
   Volymnamn	functions-keys
   Monteringspunktens sökväg	/run/secrets/functions-keys

10. Välj Spara och välj sedan Skapa för att distribuera den nya revisionen.

Exportera appens YAML, lägg till volymen och volymmonteringen och tillämpa sedan:

# Export current config
az containerapp show \
  --resource-group "<RESOURCE_GROUP>" \
  --name "<FUNCTIONS_APP_NAME>" \
  --output yaml > app.yaml

Redigera app.yaml för att lägga till volymen och volymmonteringen under lämpliga avsnitt:

properties:
  template:
    volumes:
      - name: functions-keys
        storageType: Secret
        secrets:
          - secretRef: host-master
            path: host.master
          - secretRef: host-function-default
            path: host.function.default
    containers:
      - name: <CONTAINER_NAME>
        volumeMounts:
          - volumeName: functions-keys
            mountPath: /run/secrets/functions-keys

Tillämpa den uppdaterade konfigurationen:

az containerapp update \
  --resource-group "<RESOURCE_GROUP>" \
  --name "<FUNCTIONS_APP_NAME>" \
  --yaml app.yaml

Key Vault-serverdelen lagrar åtkomstnycklar som Key Vault hemligheter, vilket ger granskning och åtkomstkontroll i företagsklass.

1. Skapa en Key Vault (om du inte har någon):

   az keyvault create \
     --name "<KEYVAULT_NAME>" \
     --resource-group "<RESOURCE_GROUP>" \
     --location "<LOCATION>"
   

2. Aktivera hanterad identitet i containerappen (om den inte redan är aktiverad):

   az containerapp identity assign \
     --resource-group "<RESOURCE_GROUP>" \
     --name "<FUNCTIONS_APP_NAME>" \
     --system-assigned
   

3. Ge rollen Key Vault Secrets Officer till den hanterade identiteten. Körningen behöver läs- och skrivåtkomst för att skapa och hantera nycklar:

   PRINCIPAL_ID=$(az containerapp show \
     --resource-group "<RESOURCE_GROUP>" \
     --name "<FUNCTIONS_APP_NAME>" \
     --query identity.principalId \
     --output tsv)
   
   KEYVAULT_ID=$(az keyvault show \
     --name "<KEYVAULT_NAME>" \
     --query id \
     --output tsv)
   
   az role assignment create \
     --role "Key Vault Secrets Officer" \
     --assignee "$PRINCIPAL_ID" \
     --scope "$KEYVAULT_ID"
   

4. Ange lagringstyp och Key Vault URI:

   För systemtilldelad identitet:

   az containerapp update \
     --resource-group "<RESOURCE_GROUP>" \
     --name "<FUNCTIONS_APP_NAME>" \
     --set-env-vars \
       "AzureWebJobsSecretStorageType=keyvault" \
       "AzureWebJobsSecretStorageKeyVaultUri=https://<KEYVAULT_NAME>.vault.azure.net"
   

   För användartilldelad identitet anger du även klient-ID:t:

   az containerapp update \
     --resource-group "<RESOURCE_GROUP>" \
     --name "<FUNCTIONS_APP_NAME>" \
     --set-env-vars \
       "AzureWebJobsSecretStorageType=keyvault" \
       "AzureWebJobsSecretStorageKeyVaultUri=https://<KEYVAULT_NAME>.vault.azure.net" \
       "AzureWebJobsSecretStorageKeyVaultClientId=<USER_ASSIGNED_IDENTITY_CLIENT_ID>"
   

5. Utveckla nyckelskapande genom att lista nycklar:

   az containerapp function keys list \
     --resource-group "<RESOURCE_GROUP>" \
     --name "<FUNCTIONS_APP_NAME>" \
     --key-type hostKey
   

Blob Storage-backend möjliggör att körmiljön automatiskt kan generera och hantera åtkomstnycklar. Använd det här alternativet när du redan har ett lagringskonto för AzureWebJobsStorage och inte behöver centraliserad styrning.

1. Aktivera hanterad identitet i containerappen (om den inte redan är aktiverad):

   az containerapp identity assign \
     --resource-group "<RESOURCE_GROUP>" \
     --name "<FUNCTIONS_APP_NAME>" \
     --system-assigned
   

2. Bevilja på lagringskontot rollen Storage Blob Data Contributor till den hanterade identiteten.

   PRINCIPAL_ID=$(az containerapp show \
     --resource-group "<RESOURCE_GROUP>" \
     --name "<FUNCTIONS_APP_NAME>" \
     --query identity.principalId \
     --output tsv)
   
   STORAGE_ID=$(az storage account show \
     --name "<STORAGE_ACCOUNT_NAME>" \
     --resource-group "<RESOURCE_GROUP>" \
     --query id \
     --output tsv)
   
   az role assignment create \
     --role "Storage Blob Data Contributor" \
     --assignee "$PRINCIPAL_ID" \
     --scope "$STORAGE_ID"
   

3. Ange lagringstyp:

   az containerapp update \
     --resource-group "<RESOURCE_GROUP>" \
     --name "<FUNCTIONS_APP_NAME>" \
     --set-env-vars "AzureWebJobsSecretStorageType=blob"
   

4. Körtiden skapar nycklar automatiskt vid nästa kallstart. Kontrollera:

   az containerapp function keys list \
     --resource-group "<RESOURCE_GROUP>" \
     --name "<FUNCTIONS_APP_NAME>" \
     --key-type hostKey