Requisitos previos para implementar App Service en Azure Stack Hub

Antes de implementar Azure App Service en Azure Stack Hub, debe completar los pasos que se indican en este artículo.

Antes de comenzar

En esta sección se enumeran los requisitos previos para las implementaciones de sistemas integrados de Azure Stack Hub.

Requisitos previos del proveedor de recursos

Si ya ha instalado un proveedor de recursos, es probable que haya completado los siguientes requisitos previos y pueda omitir esta sección. De lo contrario, realice estos pasos antes de continuar:

1. Registre la instancia de Azure Stack Hub en Azure, si aún no lo ha hecho. Este paso es necesario, ya que se va a conectar a Marketplace y a descargar ahí elementos desde Azure.

2. Si no está familiarizado con la característica Marketplace Management del portal de administrador de Azure Stack Hub, consulte Descarga de elementos de Marketplace de Azure y publicación en Azure Stack Hub. El artículo le guía por el proceso de descarga de elementos de Azure en Marketplace de Azure Stack Hub. Abarca escenarios conectados y desconectados. Si la instancia de Azure Stack Hub está desconectada o parcialmente conectada, existen requisitos previos adicionales que hay que cumplir para completar la instalación.

3. Actualice su directorio principal de Microsoft Entra. A partir de la compilación 1910, se debe registrar una nueva aplicación en el inquilino del directorio principal. Esta aplicación permitirá a Azure Stack Hub crear y registrar correctamente proveedores de recursos más recientes (como Event Hubs y otros) con el inquilino de Microsoft Entra. Se trata de una acción única que debe realizarse después de actualizar a la compilación 1910 o posterior. Si no se realiza este paso, se producirá un error en las instalaciones del proveedor de recursos de marketplace.

   • Después de actualizar correctamente la instancia de Azure Stack Hub a 1910 o superior, siga las instrucciones para clonar o descargar el repositorio de herramientas de Azure Stack Hub.
   • A continuación, siga las instrucciones para actualizar el directorio principal de Microsoft Entra de Azure Stack Hub (después de instalar actualizaciones o nuevos proveedores de recursos).

Scripts del instalador y el asistente

1. Descargue los scripts auxiliares para la implementación de App Service en Azure Stack Hub.

   Nota

   Los scripts auxiliares de implementación requieren el módulo AzureRM de PowerShell. Consulte Instalación del módulo AzureRM de PowerShell para Azure Stack Hub obtener información detallada sobre la instalación.

2. Descargue el instalador de App Service en Azure Stack Hub.

3. Extraiga los archivos del archivo ZIP de scripts auxiliares. Se extraen los siguientes archivos y carpetas:

   • Common.ps1
   • Create-AADIdentityApp.ps1
   • Create-ADFSIdentityApp.ps1
   • Create-AppServiceCerts.ps1
   • Get-AzureStackRootCert.ps1
   • BCDR
     • ReACL.cmd
   • Carpeta Modules
     • GraphAPI.psm1

Certificados y configuración del servidor (sistemas integrados)

En esta sección se enumeran los requisitos previos para las implementaciones de sistemas integrados.

Requisitos de certificados

Para ejecutar el proveedor de recursos en producción, debe proporcionar los siguientes certificados:

• Certificado de dominio predeterminado
• Certificado de API
• Certificado de publicador
• Certificado de identidad

Además de los requisitos específicos que se enumeran en las secciones siguientes, también usará una herramienta más adelante para probar los requisitos generales. Consulte Preparación de certificados PKI de Azure Stack Hub para obtener una lista completa de validaciones, entre las que se incluyen:

• Formato de archivo de los archivos .PFX
• Uso de claves establecido en la autenticación de servidor y cliente
• y muchas otras.

Certificado de dominio predeterminado

El certificado de dominio predeterminado se coloca en el rol de front-end. Este certificado lo usan las aplicaciones de usuario para una solicitud de dominio comodín o predeterminado a Azure App Service. El certificado también se utiliza para operaciones de control de código fuente (Kudu).

El certificado debe estar en formato .pfx y debe ser un certificado comodín con tres firmantes. Este requisito permite que el dominio predeterminado y el punto de conexión de SCM para las operaciones de control de código fuente se realicen mediante un certificado.

Certificado de API

El certificado de la API se coloca en el rol de administración. El proveedor de recursos lo usa para ayudar a proteger las llamadas a la API. El certificado para publicar debe contener un firmante que coincida con la entrada DNS de la API.

Certificado de publicador

El certificado para el rol de publicador protege el tráfico FTPS de los propietarios de aplicaciones cuando cargan contenido. El certificado para publicar debe contener un firmante que coincida con la entrada DNS de FTPS.

Certificado de identidad

El certificado para la aplicación de identidad permite:

• La integración entre Microsoft Entra ID o el directorio de los servicios de federación de Active Directory (AD FS), Azure Stack Hub y App Service para permitir la integración con el proveedor de recursos de proceso.
• Escenarios de inicio de sesión único para herramientas de desarrollo avanzadas de Azure App Service en Azure Stack Hub.

El certificado de identidad debe contener un firmante que coincida con el siguiente formato.

Validación de certificados

Antes de implementar el proveedor de recursos de App Service, debe validar los certificados que se van a utilizar con la herramienta Readiness Checker disponible para Azure Stack Hub en la Galería de PowerShell. La herramienta Readiness Checker para Azure Stack Hub comprueba que los certificados PKI generados son adecuados para la implementación de App Service.

Se recomienda que, cuando trabaje con cualquiera de los certificados PKI de Azure Stack Hub necesarios, incluya en el planeamiento tiempo suficiente para probar y volver a emitir certificados, si fuese necesario.

Preparación del servidor de archivos

Azure App Service necesita utilizar un servidor de archivos. Para las implementaciones de producción, se debe configurar el servidor de archivos para tener alta disponibilidad y ser capaz de administrar los errores.

Plantilla de inicio rápido para un servidor de archivos de alta disponibilidad y una instancia de SQL Server

Ahora dispone de una plantilla de inicio rápido de arquitectura de referencia que implementará un servidor de archivos y un servidor de SQL Server. Esta plantilla admite la infraestructura de Active Directory en una red virtual configurada para admitir una implementación de alta disponibilidad de Azure App Service en Azure Stack Hub.

Pasos para implementar un servidor de archivos personalizado

Aprovisionar grupos y cuentas en Active Directory

1. Cree los grupos globales de seguridad de Active Directory siguientes:

   • FileShareOwners
   • FileShareUsers

2. Crear las siguientes cuentas de Active Directory como cuentas de servicio:

   • FileShareOwner
   • UsuarioDeComparticiónDeArchivos

   Como procedimiento recomendado de seguridad, los usuarios de estas cuentas (y para todos los roles de web) deben ser únicos y tener contraseñas y nombres de usuario seguros. Establezca las contraseñas con las condiciones siguientes:

   • Habilitar La contraseña nunca expira.
   • Habilitar El usuario no puede cambiar la contraseña.
   • Deshabilitar El usuario debe cambiar la contraseña en el siguiente inicio de sesión.

3. Agregue las cuentas a las pertenencias a grupos de la manera siguiente:

   • Agregar FileShareOwner al grupo FileShareOwners.
   • Agregar FileShareUser al grupo FileShareUsers.

Aprovisionar grupos y cuentas en un grupo de trabajo

Cuando se usa la plantilla de Azure Resource Manager, los usuarios ya están creados.

1. Ejecute los comandos siguientes para crear las cuentas FileShareOwner y FileShareUser. Reemplazar <password> por sus propios valores.

   net user FileShareOwner <password> /add /expires:never /passwordchg:no
   net user FileShareUser <password> /add /expires:never /passwordchg:no
   

2. Establezca las contraseñas de las cuentas para que no expiren nunca al ejecutar los siguientes comandos WMIC:

   WMIC USERACCOUNT WHERE "Name='FileShareOwner'" SET PasswordExpires=FALSE
   WMIC USERACCOUNT WHERE "Name='FileShareUser'" SET PasswordExpires=FALSE
   

3. Cree los grupos locales FileShareUsers y FileShareOwners y agrégueles las cuentas en el primer paso:

   net localgroup FileShareUsers /add
   net localgroup FileShareUsers FileShareUser /add
   net localgroup FileShareOwners /add
   net localgroup FileShareOwners FileShareOwner /add
   

Aprovisionar el recurso compartido de contenido

El recurso compartido de contenido incluye el contenido del sitio web del inquilino. El procedimiento para aprovisionar el recurso compartido de contenido en un único servidor de archivos es el mismo para los entornos de Active Directory y del grupo de trabajo. Pero es diferente para un clúster de conmutación por error en Active Directory.

Aprovisionamiento del recurso compartido de contenido en un único servidor de archivos (Active Directory o grupo de trabajo)

En un único servidor de archivos, ejecute los comandos siguientes en un símbolo del sistema con privilegios elevados. Reemplace el valor de C:\WebSites por las rutas de acceso correspondientes de su entorno.

set WEBSITES_SHARE=WebSites
set WEBSITES_FOLDER=C:\WebSites
md %WEBSITES_FOLDER%
net share %WEBSITES_SHARE% /delete
net share %WEBSITES_SHARE%=%WEBSITES_FOLDER% /grant:Everyone,full

Configurar el control de acceso a los recursos compartidos

Ejecute los comandos siguientes en un símbolo del sistema con privilegios elevados en el servidor de archivos o en el nodo del clúster de conmutación por error, que es el propietario actual del recurso del clúster. Reemplace los valores en cursiva por valores específicos de su entorno.

Active Directory

set DOMAIN=<DOMAIN>
set WEBSITES_FOLDER=C:\WebSites
icacls %WEBSITES_FOLDER% /reset
icacls %WEBSITES_FOLDER% /grant Administrators:(OI)(CI)(F)
icacls %WEBSITES_FOLDER% /grant %DOMAIN%\FileShareOwners:(OI)(CI)(M)
icacls %WEBSITES_FOLDER% /inheritance:r
icacls %WEBSITES_FOLDER% /grant %DOMAIN%\FileShareUsers:(CI)(S,X,RA)
icacls %WEBSITES_FOLDER% /grant *S-1-1-0:(OI)(CI)(IO)(RA,REA,RD)

Grupo de trabajo

set WEBSITES_FOLDER=C:\WebSites
icacls %WEBSITES_FOLDER% /reset
icacls %WEBSITES_FOLDER% /grant Administrators:(OI)(CI)(F)
icacls %WEBSITES_FOLDER% /grant FileShareOwners:(OI)(CI)(M)
icacls %WEBSITES_FOLDER% /inheritance:r
icacls %WEBSITES_FOLDER% /grant FileShareUsers:(CI)(S,X,RA)
icacls %WEBSITES_FOLDER% /grant *S-1-1-0:(OI)(CI)(IO)(RA,REA,RD)

Preparación de la instancia de SQL Server

Para que Azure App Service en Azure Stack Hub pueda hospedar y medir bases de datos, debe preparar una instancia de SQL Server en la que se almacenen las bases de datos de App Service.

Para fines de producción y alta disponibilidad, debe usar una versión completa de SQL Server 2016 SP3 o posterior, habilitar la autenticación en modo mixto e implementarla en una configuración de alta disponibilidad.

La instancia de SQL Server para Azure App Service en Azure Stack Hub debe ser accesible desde todos los roles de App Service. SQL Server se puede implementar en la suscripción predeterminada del proveedor de Azure Stack Hub. También puede usar la infraestructura existente de su organización (siempre y cuando haya conectividad con Azure Stack Hub). Si va a usar una imagen de Azure Marketplace, no olvide configurar el firewall adecuadamente.

El instalador de App Service comprobará que la instancia de SQL Server tenga habilitada la contención de base de datos. Para habilitar la independencia de base de datos en la instancia de SQL Server que hospedará las bases de datos de App Service, ejecute estos comandos SQL:

sp_configure 'contained database authentication', 1;
GO
RECONFIGURE;
GO

Problemas de licencias del servidor de archivos necesario y de SQL Server

Azure App Service en Azure Stack Hub necesita un servidor de archivos y una instancia de SQL Server para funcionar. Puede usar recursos que ya existan y estén fuera de la implementación de Azure Stack Hub o implementar recursos en su suscripción de proveedor predeterminada de Azure Stack Hub.

Si decide implementar los recursos en la suscripción del proveedor predeterminada de Azure Stack Hub, las licencias de esos recursos (las licencias de Windows Server y de SQL Server) se incluirán en el costo de Azure App Service para Azure Stack Hub con arreglo a las siguientes restricciones:

• La infraestructura se implementa en la suscripción del proveedor predeterminado.
• La infraestructura la utiliza exclusivamente Azure App Service en el proveedor de recursos de Azure Stack Hub. Ninguna otra carga de trabajo, ya sea administrativa (otros proveedores de recursos, por ejemplo: SQL-RP) o de inquilino (por ejemplo: aplicaciones de inquilino, que requieren una base de datos), puede usar esta infraestructura.

Responsabilidad operativa de los servidores de archivos y de SQL Server

Los operadores de la nube son responsables del mantenimiento y funcionamiento del servidor de archivos y el servidor de SQL Server. El proveedor de recursos no administra estos recursos. El operador de la nube es responsable de realizar copias de seguridad de las bases de datos y los recursos compartidos de archivos del contenido del inquilino de App Service.

Recuperación del certificado raíz de Azure Resource Manager para Azure Stack Hub

Abra una sesión de PowerShell con privilegios elevados en un equipo que pueda acceder al punto de conexión con privilegios en el sistema integrado de Azure Stack Hub.

Ejecute el script Get-AzureStackRootCert.ps1 desde la carpeta en la que extrajo los scripts auxiliares. La carpeta donde se crea el certificado raíz del script es la misma donde se encuentra el script que App Service necesita para crear certificados.

Al ejecutar el siguiente comando de PowerShell, tiene que proporcionar el punto de conexión con privilegios y las credenciales para AzureStack\CloudAdmin.

    Get-AzureStackRootCert.ps1

Parámetros de script Get-AzureStackRootCert.ps1

Configuración de red y de identidad

Red de área virtual

Azure App Service en Azure Stack Hub le permite implementar el proveedor de recursos en una red virtual existente o crear una red virtual como parte de la implementación. El uso de una red virtual existente permite utilizar direcciones IP internas para conectarse al servidor de archivos y al servidor SQL Server que Azure App Service necesita en Azure Stack Hub. La red virtual debe configurarse con el intervalo de direcciones y las subredes siguientes antes de instalar Azure App Service en Azure Stack Hub:

Red virtual - /16

Subredes

• ControllersSubnet /24
• ManagementServersSubnet /24
• FrontEndsSubnet /24
• PublishersSubnet /24
• WorkersSubnet /21

Creación de una aplicación de identidad para habilitar escenarios de inicio de sesión único

Azure App Service usa una aplicación de identidad (entidad de servicio) para apoyar las operaciones siguientes:

• Integración del conjunto de escalado de máquinas virtuales en los niveles de trabajo.
• Inicio de sesión único para las herramientas avanzadas del desarrollador (Kudu) y el portal de Azure Functions.

En función del proveedor de identidades que use Azure Stack Hub, el id. de Microsoft Entra o servicios de federación de Active Directory (AD FS) (ADFS) debe seguir los pasos adecuados que se indican a continuación para crear la entidad de servicio para que la use Azure App Service en el proveedor de recursos de Azure Stack Hub.

    Create-AADIdentityApp.ps1

Creación de una aplicación de ADFS

1. Abra una instancia de PowerShell como azurestack\AzureStackAdmin.
2. Vaya a la ubicación de los scripts descargados y extraídos en el paso de requisitos previos.
3. Instale PowerShell para Azure Stack Hub.
4. Ejecute el script Create-ADFSIdentityApp.ps1.
5. En la ventana Credencial, escriba la cuenta y la contraseña de administrador de la nube de AD FS. Selecciona Aceptar.
6. Proporcione la ruta de acceso del archivo y la contraseña del certificado creado anteriormente. El certificado creado para este paso de forma predeterminada es sso.appservice.local.azurestack.external.pfx.

    Create-ADFSIdentityApp.ps1

Descarga de elementos de Azure Marketplace

Para implementar Azure App Service en Azure Stack Hub, es necesario descargar algunos elementos de Azure Marketplace, de forma que estén disponibles en el Marketplace de Azure Stack Hub. Estos elementos deben descargarse antes de iniciar la implementación o actualización de Azure App Service en Azure Stack Hub:

2. Extensión de script personalizado para v1.9.1 o superior. Este elemento es una extensión de máquina virtual.

Pasos siguientes

Instale el proveedor de recursos de App Service