Implantar um aplicativo Python em contêiner no Serviço de Aplicativo

Podes executar CLI do Azure comandos no Azure Cloud Shell ou numa máquina local com o CLI do Azure instalado.

Criar cofre de chaves com autorização RBAC

O Azure Key Vault é um serviço seguro para armazenar segredos, chaves de API, cadeias de conexão e certificados. Neste script, ele armazena a cadeia de conexão MongoDB e o elemento SECRET_KEY da aplicação web.

Configure o Key Vault para usar o controlo de acesso baseado em papéis (RBAC) para gerir o acesso através de funções do Azure em vez das tradicionais políticas de acesso. O aplicativo Web usa sua identidade gerenciada atribuída ao sistema para recuperar segredos com segurança em tempo de execução.

1. Use o comando az keyvault create para criar um Azure Key Vault com RBAC ativado.

   • Bash
   • PowerShell

   #!/bin/bash
   RESOURCE_GROUP_NAME="msdocs-web-app-rg"
   LOCATION="westus"
   KEYVAULT_NAME="${RESOURCE_GROUP_NAME}-kv"
   
   az keyvault create \
     --name "$KEYVAULT_NAME" \
     --resource-group "$RESOURCE_GROUP_NAME" \
     --location "$LOCATION" \
     --enable-rbac-authorization true
   

Criar o plano de serviço de aplicativo e o aplicativo Web

O Plano do Serviço de Aplicativo define os recursos de computação, a camada de preços e a região do seu aplicativo Web. A aplicação web executa a sua aplicação containerizada e está equipada com uma identidade gerida atribuída pelo sistema, que utiliza para autenticar de forma segura no Azure Container Registry (ACR) e no Azure Key Vault.

Neste passo, complete as seguintes tarefas:

• Criar um Plano do Serviço de Aplicações
• Criar o aplicativo Web com sua identidade gerenciada
• Configure a aplicação web para ser implementada usando uma imagem de contentor específica
• Prepare-se para a implantação contínua via ACR

1. Utilize o comando az appservice plan create para provisionar o ambiente de computação para a sua aplicação.

   • Bash
   • PowerShell

   #!/bin/bash
   APP_SERVICE_PLAN_NAME="msdocs-web-app-plan"
   
   az appservice plan create \
       --name "$APP_SERVICE_PLAN_NAME" \
       --resource-group "$RESOURCE_GROUP_NAME" \
       --sku B1 \
       --is-linux
   

2. Usa o comando criação da aplicação web az para criar a aplicação web. Esse comando também habilita uma identidade gerenciada atribuída ao sistema e define a imagem de contêiner que o aplicativo executa.

   • Bash
   • PowerShell

   #!/bin/bash
   APP_SERVICE_NAME="msdocs-website-name" #APP_SERVICE_NAME must be globally unique as it becomes the website name in the URL `https://<website-name>.azurewebsites.net`.
   # Use the same registry name as in part 2 of this tutorial series.
   REGISTRY_NAME="msdocscontainerregistryname" #REGISTRY_NAME is the registry name you used in part 2 of this tutorial.
   CONTAINER_NAME="$REGISTRY_NAME.azurecr.io/msdocspythoncontainerwebapp:latest" #CONTAINER_NAME is of the form "yourregistryname.azurecr.io/repo_name:tag".
   
   az webapp create \
     --resource-group "$RESOURCE_GROUP_NAME" \
     --plan "$APP_SERVICE_PLAN_NAME" \
     --name "$APP_SERVICE_NAME" \
     --assign-identity '[system]' \
     --deployment-container-image-name "$CONTAINER_NAME" 
   

   Observação

   Ao executar este comando, pode ver o seguinte erro:

   No credential was provided to access Azure Container Registry. Trying to look up...
   Retrieving credentials failed with an exception:'Failed to retrieve container registry credentials. Please either provide the credentials or run 'az acr update -n msdocscontainerregistryname --admin-enabled true' to enable admin first.'
   

   Este erro ocorre porque a aplicação web tenta usar credenciais de administrador para aceder ao ACR, mas as credenciais de administrador estão desativadas por defeito. Pode ignorar esta mensagem. O passo seguinte configura a aplicação web para usar a sua identidade gerida para se autenticar com o ACR.

Conceder o papel de Oficial de Segredos do Key Vault ao utilizador autenticado

Para armazenar segredos no Cofre de Chaves do Azure, o usuário que executa o script deve ter a função de Oficial de Segredos do Cofre de Chaves . Este papel concede permissão para criar e gerir segredos dentro do cofre.

Neste passo, o script atribui esse papel ao utilizador atualmente autenticado. Esse usuário pode então armazenar com segurança segredos do aplicativo, como a cadeia de conexão MongoDB e o SECRET_KEY.

Esta atribuição de função é a primeira de duas relacionadas com o Key Vault. Mais tarde, à identidade gerida atribuída pelo sistema da aplicação web é concedido acesso para recuperar segredos do repositório.

Ao usar Azure RBAC, garante acesso seguro e auditável com base na identidade, por isso não precisa de usar credenciais codificadas fixamente.

1. Use o comando az role assignment create para atribuir o papel no âmbito do Key Vault.

   • Bash
   • PowerShell

   #!/bin/bash
   CALLER_ID=$(az ad signed-in-user show --query id -o tsv)
   echo $CALLER_ID # Verify this value retrieved successfully. In production, poll to verify this value is retrieved successfully.
   
   az role assignment create \
     --role "Key Vault Secrets Officer" \
     --assignee "$CALLER_ID" \
     --scope "/subscriptions/$(az account show --query id -o tsv)/resourceGroups/$RESOURCE_GROUP_NAME/providers/Microsoft.KeyVault/vaults/$KEYVAULT_NAME"
   
   

Conceder acesso à Web ao ACR usando identidade gerenciada

Para extrair imagens do Azure Container Registry (ACR) de forma segura, configure a aplicação web para usar a sua identidade gerida atribuída ao sistema. Ao usar identidade gerida, não precisa de credenciais de administrador e pode suportar uma implementação segura e sem credenciais.

Este processo envolve duas acções-chave:

• Permitindo que o aplicativo Web use sua identidade gerenciada ao acessar o ACR
• Atribuindo a função AcrPull a essa identidade no ACR de destino

1. Neste passo, recupere o principal ID (ID único do objeto) da identidade gerida da aplicação web usando o comando az webapp identity show . Em seguida, ative a utilização da identidade gerida para autenticação no ACR, definindo a propriedade acrUseManagedIdentityCreds como true ao utilizar az webapp config set. Depois, atribua a função AcrPull à identidade gerida da aplicação Web ao usar o comando az role assignment create. Essa função concede ao aplicativo Web permissão para extrair imagens do Registro.

   • Bash
   • PowerShell

   #!/bin/bash
   PRINCIPAL_ID=$(az webapp identity show \
     --name "$APP_SERVICE_NAME" \
     --resource-group "$RESOURCE_GROUP_NAME" \
     --query principalId \
     -o tsv)
   echo $PRINCIPAL_ID # Verify this value retrieved successfully. In production, poll for successful 'AcrPull' role assignment using `az role assignment list`.    
   
   az webapp config set \
     --resource-group "$RESOURCE_GROUP_NAME" \
     --name "$APP_SERVICE_NAME" \
     --generic-configurations '{"acrUseManagedIdentityCreds": true}'
   
   az role assignment create \
   --role "AcrPull" \
   --assignee "$PRINCIPAL_ID" \
   --scope "/subscriptions/$(az account show --query id -o tsv)/resourceGroups/$RESOURCE_GROUP_NAME/providers/Microsoft.ContainerRegistry/registries/$REGISTRY_NAME"
   
   

Conceder acesso ao cofre de chaves à identidade gerenciada do aplicativo Web

O aplicativo Web precisa de permissão para acessar segredos como a cadeia de conexão MongoDB e o SECRET_KEY. Para conceder estas permissões, atribui o papel Key Vault Secrets User à identidade gerida atribuída ao sistema da aplicação web.

1. Neste passo, utilize o identificador único (principal ID) da identidade gerida atribuída ao sistema da aplicação web para conceder à aplicação web acesso ao Key Vault com o papel Key Vault Secrets User usando o comando az role assignment create.

   • Bash
   • PowerShell

   #!/bin/bash
   
   az role assignment create \
   --role "Key Vault Secrets User" \
   --assignee "$PRINCIPAL_ID" \
   --scope "/subscriptions/$(az account show --query id -o tsv)/resourceGroups/$RESOURCE_GROUP_NAME/providers/Microsoft.KeyVault/vaults/$KEYVAULT_NAME"
   

Guardar segredos no Key Vault

Para evitar codificar segredos rígidos na sua aplicação, armazene o MongoDB cadeia de ligação e a chave secreta da aplicação web em Azure Key Vault. A aplicação web pode aceder de forma segura a estes segredos em tempo de execução através da sua identidade gerida, por isso não precisa de armazenar credenciais em código ou configuração.

1. Utilize o comando az cosmosdb keys list para obter a cadeia de ligação do MongoDB. Depois, usa o comando az keyvault secret set para armazenar tanto a cadeia de ligação como uma chave secreta gerada aleatoriamente no Key Vault.

   • Bash
   • PowerShell

   #!/bin/bash
   ACCOUNT_NAME="msdocs-cosmos-db-account-name"
   
   MONGO_CONNECTION_STRING=$(az cosmosdb keys list \
     --name "$ACCOUNT_NAME" \
     --resource-group "$RESOURCE_GROUP_NAME" \
     --type connection-strings \
     --query "connectionStrings[?description=='Primary MongoDB Connection String'].connectionString" -o tsv)
   
   SECRET_KEY=$(openssl rand -base64 32 | tr -dc 'a-zA-Z0-9')
   # This key is cryptographically secure, using OpenSSL’s strong random number generator.
   
   az keyvault secret set \
     --vault-name "$KEYVAULT_NAME" \
     --name "MongoConnectionString" \
     --value "$MONGO_CONNECTION_STRING"
   
   az keyvault secret set \
     --vault-name "$KEYVAULT_NAME" \
     --name "MongoSecretKey" \
     --value "$SECRET_KEY"
   

Configurar a aplicação web para usar os segredos do Key Vault

Para aceder aos segredos de forma segura em tempo de execução, configure a aplicação web para referenciar os segredos armazenados no Azure Key Vault. Use referências Key Vault para injetar os valores secretos no ambiente da aplicação através da sua identidade gerida atribuída ao sistema.

Essa abordagem evita segredos de codificação e permite que o aplicativo recupere com segurança valores confidenciais, como a cadeia de conexão MongoDB e a chave secreta durante a execução.

1. Use o comando az webapp config appsettings set para adicionar definições de aplicação que referenciam os segredos Key Vault. Especificamente, defina as definições da aplicação MongoConnectionString e MongoSecretKey para referenciarem os respetivos segredos armazenados em Key Vault.

   • Bash
   • PowerShell

   #!/bin/bash
   MONGODB_NAME="restaurants_reviews"
   MONGODB_COLLECTION_NAME="restaurants_reviews"
   
   az webapp config appsettings set \
     --resource-group "$RESOURCE_GROUP_NAME" \
     --name "$APP_SERVICE_NAME" \
     --settings \
         CONNECTION_STRING="@Microsoft.KeyVault(SecretUri=https://$KEYVAULT_NAME.vault.azure.net/secrets/MongoConnectionString)" \
         SECRET_KEY="@Microsoft.KeyVault(SecretUri=https://$KEYVAULT_NAME.vault.azure.net/secrets/MongoSecretKey)" \
         DB_NAME="$MONGODB_NAME" \
         COLLECTION_NAME="$MONGODB_COLLECTION_NAME"
   

Habilite a implantação contínua a partir do ACR

Quando ativa a implementação contínua, a aplicação web puxa e executa automaticamente a imagem mais recente do contentor sempre que envia uma para o Azure Container Registry (ACR). Esta funcionalidade reduz os passos manuais de implementação e ajuda a garantir que a sua aplicação se mantém atualizada.

1. Utilize o comando az webapp deployment container config para ativar a implementação contínua a partir do ACR para a aplicação Web.

   • Bash
   • PowerShell

   #!/bin/bash
   az webapp deployment container config \
     --name "$APP_SERVICE_NAME" \
     --resource-group "$RESOURCE_GROUP_NAME" \
     --enable-cd true
   

Registar um webhook do ACR para implantação contínua

Para automatizar implantações, registre um webhook no Azure Container Registry (ACR) que notifica o aplicativo Web sempre que uma nova imagem de contêiner é enviada por push. Ao usar o webhook, a aplicação puxa e executa automaticamente a versão mais recente.

O webhook que configura no Azure Container Registry (ACR) envia um pedido POST para o endpoint SCM (SERVICE_URI) da aplicação web sempre que uma nova imagem é enviada para o repositório msdocspythoncontainerwebapp. Essa ação aciona o aplicativo Web para extrair e implantar a imagem atualizada, concluindo o pipeline de implantação contínua entre o ACR e o Serviço de Aplicativo do Azure.

1. Utilize o comando az acr webhook create para registar o webhook e configurá-lo para ser acionado em eventos push.

   • Bash
   • PowerShell

   #!/bin/bash
   CREDENTIAL=$(az webapp deployment list-publishing-credentials \
       --resource-group "$RESOURCE_GROUP_NAME" \
       --name "$APP_SERVICE_NAME" \
       --query publishingPassword --output tsv)
   # Web app publishing credentials may not be available immediately. In production, poll until non-empty.   
   
   SERVICE_URI="https://$APP_SERVICE_NAME:$CREDENTIAL@$APP_SERVICE_NAME.scm.azurewebsites.net/api/registry/webhook"
   
   az acr webhook create \
     --name webhookforwebapp \
     --registry "$REGISTRY_NAME" \
     --scope msdocspythoncontainerwebapp:* \
     --uri "$SERVICE_URI" \
     --actions push
   
   

Navegar no site

Para verificar se o aplicativo Web está em execução, abra https://<website-name>.azurewebsites.net, substituindo <website-name> pelo nome do seu Serviço de Aplicativo. Você deve ver o aplicativo de exemplo de avaliação de restaurante. Pode demorar alguns momentos a carregar à primeira.

Quando o site aparecer, tente adicionar um restaurante e enviar uma avaliação para confirmar se o aplicativo está funcionando corretamente.

Se estiver a usar o CLI do Azure localmente, use o comando az webapp browse para abrir o site no seu navegador predefinido:

az webapp browse --name $APP_SERVICE_NAME --resource-group $RESOURCE_GROUP_NAME

Você pode usar a extensão Docker no Visual Studio Code para criar e implantar seu aplicativo Web em contêiner no Serviço de Aplicativo do Azure. Essa extensão simplifica o processo de empacotar seu aplicativo e enviá-lo para a nuvem. Depois de implantado, use a extensão Ferramentas do Azure para definir as configurações do aplicativo Web, incluindo a cadeia de conexão MongoDB e uma chave secreta para o aplicativo.

Inicialmente, configure e teste a aplicação usando valores codificados fixamente para garantir que inicia e se liga com sucesso à base de dados MongoDB. Depois de verificar se o aplicativo funciona, use a CLI do Azure (localmente ou no Cloud Shell) para criar um Cofre da Chave do Azure. De seguida, conceda ao utilizador que cria a aplicação no VS Code permissão para armazenar informações sensíveis e depois armazene a cadeia de ligação do MongoDB e a chave secreta da aplicação como segredos do Key Vault.

Finalmente, no Visual Studio Code, atualize as configurações do aplicativo Web para fazer referência aos segredos armazenados no Cofre da Chave. O aplicativo agora pode acessar valores de configuração com segurança sem incorporá-los diretamente no código.

Criar o aplicativo Web

Essas etapas exigem a instalação da extensão Docker para VS Code.

1. Atualize o Registro de Contêiner do Azure na extensão do Docker para confirmar se o contêiner criado aparece na seção REGISTROS da extensão do Docker. Caso contrário, clique com o botão direito do rato no nome do registo e selecione Atualizar.

   

2. Selecione F1 ou CTRL+SHIFT+P para abrir a paleta de comandos, digite "Registros do Docker" e selecione o Registros do Docker: Implantar imagem no Serviço de Aplicativo do Azure... tarefa.

3. Insira os seguintes valores conforme solicitado para implantar a imagem:

   • Selecione o provedor do Registro: Azure
   • Assinatura: selecione a assinatura que contém o Registro de Contêiner do Azure que você criou anteriormente.
   • Selecionar registro: digite o nome do registro que você criou anteriormente neste tutorial.
   • Selecionar repositório: insira o nome do repositório msdocscontainerregistryname. Se não vires este repositório, atualiza a extensão do Docker na seção REGISTOS.
   • Selecione a tag: mais recente para a tag da imagem.
   • Insira um nome globalmente exclusivo para o aplicativo Web: insira um nome que seja globalmente exclusivo para o Serviço de Aplicativo do Azure. Por exemplo, se você usar msdocs-website-name, a URL do aplicativo Web será http://msdocs-website-name.azurewebsites.net.
   • Selecione um grupo de recursos: use o grupo de recursos que contém o Registro de Contêiner do Azure criado anteriormente.
   • Selecione um plano do Linux App Service: use um existente ou crie um novo.

4. Veja a janela OUTPUT para obter detalhes da implantação. Uma das linhas de saída é "Concedendo permissão para que o Serviço de Aplicações extraia a imagem do ACR...", em que o Serviço de Aplicações acede ao registo utilizando uma identidade gerida.

   

   O site final https://<app-name>.azurewebsites.net ainda não está pronto porque precisa especificar informações do MongoDB.

   Observação

   Quando se implementa com o Visual Studio Code, a identidade gerida já está configurada para o App Service extrair imagens do registo. Você pode confirmar que a identidade gerenciada está habilitada exibindo os logs na janela OUTPUT e procurando a mensagem "Concedendo permissão para o Serviço de Aplicativo extrair imagem do ACR...".

Configurar identidade gerenciada e webhook

Durante a implementação com o VS Code, cria-se um webhook que permite à aplicação web extrair novas imagens do Azure Container Registry.

1. Examine a configuração de webhooks no portal do Azure para confirmar que o URI de serviço termina com "/api/registry/webhook". Para revisar o URI do serviço, abra a extensão Docker no VS Code e localize o registro que você criou. Clique com o botão direito do rato no registo e selecione Abrir no Portal. O registro de contêiner é aberto no portal do Azure. Clique em Serviços e, em seguida, clique em Webhooks. Abra o menu de contexto e clique em Configurar.

   

2. Confirme se o URI do serviço termina com "/api/registry/webhook". Se não estiver, adiciona-o ao final da cadeia e clica em Guardar.

Configurar a ligação ao MongoDB usando valores codificados diretamente

Neste passo, especifique as variáveis de ambiente necessárias para a aplicação web se ligar ao MongoDB.

1. No modo de exibição do Azure no VS Code (da extensão Ferramentas do Azure):

   1. Expanda RECURSOS e encontre Serviços de Aplicações na sua subscrição. (Certifique-se de que está a visualizar os recursos por Grupo por Tipo de Recurso.)

   2. Expanda Serviços de Aplicativos e localize o aplicativo Web que você criou.

   3. Expanda seu aplicativo Web e clique com o botão direito do mouse em Configurações do aplicativo.

   4. Selecione Adicionar nova configuração....

   

2. Cada vez que você adiciona uma nova configuração, uma caixa de diálogo aparece na parte superior da janela VS Code, onde você pode adicionar o nome da configuração seguido de seu valor. Adicione as seguintes configurações:

   • CONNECTION_STRING: a cadeia de conexão MongoDB. Mais à frente neste tutorial, define este valor para a cadeia de ligação que guardas no Azure Key Vault.
   • DB_NAME: restaurants_reviews
   • COLLECTION_NAME: restaurants_reviews
   • WEBSITES_PORT: 8000 para Django e 5000 para Flask. Essa variável de ambiente especifica a porta na qual o contêiner está escutando.
   • SECRET_KEY: SupersecretKeyThatisPassedToPythonApp. Esta chave secreta é uma string aleatória usada por Django e Flask para criptografar dados da sessão. Mais à frente neste tutorial, define este valor para a cadeia de caracteres aleatória que guardas no Azure Key Vault.

Navegue pelo site usando valores codificados fixamente

No modo de exibição do Azure no VS Code (da extensão Ferramentas do Azure):

1. Expanda RECURSOS e encontre Serviços de Aplicações na sua subscrição. (Certifique-se de que está a visualizar os recursos por Grupo por Tipo de Recurso.)

2. Clique com o botão direito do rato na sua aplicação Web e selecione Procurar Website. Se o seu site mostrar um erro, aguarde alguns minutos e tente novamente. Pode demorar alguns minutos até a aplicação web arrancar. Consulte também Solução de problemas do Serviço de Aplicativo.

Criar cofre de chaves com autorização RBAC

Nesta etapa, cria-se um Cofre de Chaves do Azure para armazenar a cadeia de conexão MongoDB e o SECRET_KEY específico da aplicação web. O Azure Key Vault é um serviço seguro para armazenar segredos, chaves de API, cadeias de conexão e certificados. Configura o Key Vault para usar o controlo de acesso baseado em papéis (RBAC) para gerir o acesso por meio de funções do Azure, em vez de políticas de acesso tradicionais. O aplicativo Web usa sua identidade gerenciada atribuída ao sistema para recuperar segredos com segurança em tempo de execução.

1. Execute o seguinte comando da CLI do Azure para criar um novo Cofre de Chaves. Este comando usa bash ou PowerShell para criar um Key Vault com autorização RBAC ativada.

   • Bash
   • PowerShell

   #!/bin/bash
   RESOURCE_GROUP_NAME="msdocs-web-app-rg"
   LOCATION="westus"
   KEYVAULT_NAME="${RESOURCE_GROUP_NAME}-kv"
   
   az keyvault create \
     --name "$KEYVAULT_NAME" \
     --resource-group "$RESOURCE_GROUP_NAME" \
     --location "$LOCATION" \
     --enable-rbac-authorization true
   

Conceder o papel de Oficial de Segredos do Key Vault ao utilizador autenticado

Para armazenar segredos no Azure Key Vault, conceda o papel de Key Vault Oficial de Segredos ao utilizador que executa o script. Este papel concede a capacidade de criar e gerir segredos dentro do cofre.

Neste passo, o script atribui este papel ao utilizador atualmente autenticado, permitindo-lhe armazenar de forma segura dados sensíveis da aplicação, como o cadeia de ligação MongoDB e o SECRET_KEY da aplicação.

Ao usar Azure Role-Based Controlo de Acesso (RBAC), esta abordagem garante acesso seguro e auditável ao Key Vault com base na identidade, pelo que não precisa de incorporar credenciais diretamente em ficheiros de código ou de configuração.

1. Use o comando az role assignment create para atribuir o papel no âmbito do Key Vault.

   • Bash
   • PowerShell

   #!/bin/bash
   CALLER_ID=$(az ad signed-in-user show --query id -o tsv)
   echo $CALLER_ID # Verify this value retrieved successfully. In production, poll to verify this value is retrieved successfully.
   
   az role assignment create \
     --role "Key Vault Secrets Officer" \
     --assignee "$CALLER_ID" \
     --scope "/subscriptions/$(az account show --query id -o tsv)/resourceGroups/$RESOURCE_GROUP_NAME/providers/Microsoft.KeyVault/vaults/$KEYVAULT_NAME"
   
   

Guardar segredos no Key Vault

Para evitar codificar segredos rígidos na sua aplicação, armazene o MongoDB cadeia de ligação na instância do MongoDB e a chave secreta da aplicação web no Azure Key Vault. A aplicação web pode aceder de forma segura a estes segredos em tempo de execução através da sua identidade gerida, sem necessidade de armazenar credenciais em código ou configuração.

1. Utilize o comando az cosmosdb keys list para obter a cadeia de ligação do MongoDB. Depois, usa o comando az keyvault secret set para armazenar tanto a cadeia de ligação como uma chave secreta gerada aleatoriamente no Key Vault.

   • Bash
   • PowerShell

   #!/bin/bash
   ACCOUNT_NAME="msdocs-cosmos-db-account-name"
   
   MONGO_CONNECTION_STRING=$(az cosmosdb keys list \
     --name "$ACCOUNT_NAME" \
     --resource-group "$RESOURCE_GROUP_NAME" \
     --type connection-strings \
     --query "connectionStrings[?description=='Primary MongoDB Connection String'].connectionString" -o tsv)
   
   SECRET_KEY=$(openssl rand -base64 32 | tr -dc 'a-zA-Z0-9')
   # This key is cryptographically secure, using OpenSSL’s strong random number generator.
   
   az keyvault secret set \
     --vault-name "$KEYVAULT_NAME" \
     --name "MongoConnectionString" \
     --value "$MONGO_CONNECTION_STRING"
   
   az keyvault secret set \
     --vault-name "$KEYVAULT_NAME" \
     --name "MongoSecretKey" \
     --value "$SECRET_KEY"
   

Conceder acesso ao cofre de chaves à identidade gerenciada do aplicativo Web

A aplicação Web precisa de permissão para aceder à string de conexão do MongoDB e ao SECRET_KEY que você armazenou no cofre de chaves. Para conceder estas permissões, atribui o papel Key Vault Secrets User à identidade gerida atribuída ao sistema da aplicação web.

1. Neste passo, utilize o identificador único (principal ID) da identidade gerida atribuída ao sistema da aplicação web para conceder à aplicação web acesso ao Key Vault com o papel Key Vault Secrets User usando o comando az role assignment create.

   • Bash
   • PowerShell

   #!/bin/bash
     APP_SERVICE_NAME="msdocs-website-name"
     PRINCIPAL_ID=$(az webapp identity show \
       --name "$APP_SERVICE_NAME" \
       --resource-group "$RESOURCE_GROUP_NAME" \
       --query principalId \
       -o tsv)
   echo $PRINCIPAL_ID # Verify this value retrieved successfully. In production, poll for successful 'AcrPull' role assignment using `az role assignment list`.    
   
   az role assignment create \
   --role "Key Vault Secrets User" \
   --assignee "$PRINCIPAL_ID" \
   --scope "/subscriptions/$(az account show --query id -o tsv)/resourceGroups/$RESOURCE_GROUP_NAME/providers/Microsoft.KeyVault/vaults/$KEYVAULT_NAME"
   

Configure a ligação ao MongoDB usando os segredos do Key Vault

Nesta etapa, você atualiza as variáveis de ambiente necessárias para se conectar ao MongoDB para usar os valores armazenados no cofre de chaves.

1. No modo de exibição do Azure no VS Code (da extensão Ferramentas do Azure):

   1. Expanda RECURSOS e encontre Serviços de Aplicações na sua subscrição. (Certifique-se de que está a visualizar os recursos por Grupo por Tipo de Recurso.)

   2. Expanda Serviços de Aplicativo, expanda seu aplicativo Web e expanda Configurações do Aplicativo.

   3. Modifique as seguintes definições:

   • CADEIA_DE_CONEXÃO: @Microsoft.KeyVault(SecretUri=https://msdocs-web-app-rg-kv.vault.azure.net/secrets/MongoConnectionString)
   • SECRET_KEY: @Microsoft.KeyVault(SecretUri=https://$KEYVAULT_NAME.vault.azure.net/secrets/MongoSecretKey)

   Observação

   Para verificar se as definições da aplicação estão corretamente definidas, use o comando azwebapp config appsettings list para listar as definições da aplicação web. A forma do comando é: az webapp config appsettings list --/<resource-group msdocs-web-app-rg/> --name /<website-name/>. Este comando lista todas as configurações do aplicativo Web, incluindo as que você acabou de definir.

Navegue pelo site usando os segredos do Key Vault

No modo de exibição do Azure no VS Code (da extensão Ferramentas do Azure):

1. Expanda RECURSOS e encontre Serviços de Aplicações na sua subscrição. (Certifique-se de que está a visualizar os recursos por Grupo por Tipo de Recurso.)

2. Clique com o botão direito do rato na sua aplicação Web e selecione Procurar Website. Se o seu site mostrar um erro, aguarde alguns minutos e tente novamente. Pode demorar alguns minutos até a aplicação web arrancar. Consulte também Solução de problemas do Serviço de Aplicativo.