Självstudie: Integrera Azure Functions med ett Azure virtuellt nätverk med hjälp av privata slutpunkter

Den här självstudien visar hur du använder Azure Functions för att ansluta till resurser i ett virtuellt Azure-nätverk med hjälp av privata slutpunkter. Du skapar en ny funktionsapp med ett nytt lagringskonto som är låst bakom ett virtuellt nätverk med hjälp av Azure portalen. Det virtuella nätverket använder en Service Bus köutlösare.

I den här guiden kommer du att:

Skapa en funktionsapp i en Premium-plan

Du skapar en C#-funktionsapp i en Elastic Premium-plan som stöder nätverksfunktioner som integrering av virtuella nätverk vid skapande tillsammans med serverlös skalning. Den här guiden använder C# och Windows. Andra språk och Linux stöds också.

1. På Azure-portalmenyn eller sidan Home väljer du Skapa en resurs.

2. På sidan Nytt väljer duWebbfunktionsapp>.

3. På sidan värdalternativ väljer du Functions Premium.

4. På sidan Grundläggande använder du följande tabell för att konfigurera inställningarna för funktionsappen.

   Inställning	Föreslaget värde	beskrivning
   Subscription	Din prenumeration	Prenumeration under vilken den nya funktionsappen skapas.
   Resursgrupp	minResursgrupp	Namn på den nya resursgrupp där du skapar funktionsappen.
   Funktionsappens namn	Globalt unikt namn	Namn som identifierar din nya funktionsapp. Giltiga tecken är a-z (skiftlägesokänsligt), 0-9 och -.
   Publicera	Kod	Välj att publicera kodfiler eller en Docker-container.
   Körningsstack	.NET	Den här guiden använder .NET.
   Version:	8 (LTS), isolerad arbetsmodell	I den här självstudien används .NET 8.0 som körs i isolerad arbetsmodell.
   Region	Önskad region	Välj en region nära dig eller nära andra tjänster som dina funktioner har åtkomst till.
   Operativsystem	Windows	Den här handledningen använder Windows men fungerar även för Linux.
   Plan	Funktionen Premium	Värdplan som definierar hur resurser allokeras till din funktionsapp. När du väljer Premium skapas som standard en ny App Service-plan. Standard-SKU och storlek är EP1, där EP står för elastic premium. Mer information finns i listan över Premium-SKU:er. När du kör JavaScript-funktioner i en Premium-plan väljer du en instans som har färre vCPU:er. Mer information finns i Choose single-core Premium plans (Välj premiumplaner med en kärna).

5. På sidan Lagring anger du följande inställningar.

   Inställning	Föreslaget värde	beskrivning
   Lagringskonto	Globalt unikt namn	Skapa ett lagringskonto som används av din funktionsapp. Lagringskontonamnen måste vara mellan 3 och 24 tecken långa. De kan endast innehålla siffror och små bokstäver. Du kan också använda ett befintligt konto som inte är begränsat av brandväggsregler och som uppfyller kraven för lagringskontot. När du använder Functions med ett låst lagringskonto behöver du ett v2-lagringskonto. Den här versionen är standardlagringsversionen som skapas när du skapar en funktionsapp med nätverksfunktioner via Azure portalen.

6. På sidan Nätverk anger du följande inställningar.

   Kommentar

   Vissa av de här inställningarna visas inte förrän andra alternativ har valts.

   Inställning	Föreslaget värde	beskrivning
   Aktivera offentlig åtkomst	Av	Neka åtkomst till offentligt nätverk blockerar all inkommande trafik förutom den som kommer från privata slutpunkter.
   Aktivera nätverksinmatning	På	Möjligheten att konfigurera ditt program med integrering av virtuella nätverk när det skapas visas i portalfönstret när det här alternativet har växlats till På.
   Virtuellt nätverk	Skapa Ny	Välj fältet Skapa ny . På popup-skärmen anger du ett namn för det virtuella nätverket och väljer Ok. Alternativ för att begränsa inkommande och utgående åtkomst till funktionsappen vid skapande visas. Du måste uttryckligen aktivera integrering av virtuella nätverk i den utgående åtkomstdelen av fönstret för att begränsa utgående åtkomst.

   Ange följande inställningar för avsnittet Inkommande åtkomst . Det här steget skapar en privat slutpunkt i funktionsappen.

   Tips

   Om du vill fortsätta interagera med funktionsappen från Azure-portalen måste du lägga till den lokala datorn i det virtuella nätverket. Om du inte vill begränsa inkommande åtkomst hoppar du över det här steget.

   Inställning	Föreslaget värde	beskrivning
   Aktivera privata slutpunkter	På	Möjligheten att konfigurera ditt program med integrering av virtuella nätverk när det skapas visas i portalen när det här alternativet har aktiverats.
   Namn på privat slutpunkt	myInboundPrivateEndpointName	Namn som identifierar den privata slutpunkten för din nya funktionsapp.
   Inkommande undernät	Skapa Ny	Det här alternativet skapar ett nytt undernät för din inkommande privata slutpunkt. Flera privata slutpunkter kan läggas till i ett enda undernät. Ange ett undernätsnamn. Adressblocket för undernätet kan vara kvar vid standardvärdet. Välj OK. Mer information om storleksändring av undernät finns i Undernät.
   DNS	Azure Private DNS zon	Det här värdet anger vilken DNS-server som din privata slutpunkt använder. I de flesta fall, om du arbetar inom Azure, är Azure Private DNS-zon den DNS-zon som du bör använda eftersom användningen av Manual för anpassade DNS-zoner har ökad komplexitet.

   Ange följande inställningar för avsnittet Utgående åtkomst . Det här steget integrerar funktionsappen med ett virtuellt nätverk när den skapas. Det visar också alternativ för att skapa privata slutpunkter på ditt lagringskonto och begränsa ditt lagringskonto från nätverksåtkomst vid skapande. När funktionsappen är integrerad i det virtuella nätverket går all utgående trafik som standard via det virtuella nätverket.

   Inställning	Föreslaget värde	beskrivning
   Aktivera VNet-integrering	På	Den här inställningen integrerar funktionsappen med ett virtuellt nätverk när du skapar och dirigerar all utgående trafik via det virtuella nätverket.
   Utgående undernät	Skapa nya	Den här inställningen skapar ett nytt undernät för funktionsappens integrering av virtuella nätverk. En funktionsapp kan bara vara ett virtuellt nätverk integrerat med ett tomt undernät. Ange ett undernätsnamn. Adressblocket för undernätet kan vara kvar vid standardvärdet. Välj OK. Alternativet för att skapa privata lagringsslutpunkter visas. Om du vill använda funktionsappen med virtuella nätverk måste du ansluta den till ett undernät.

   Ange följande inställningar för avsnittet Privat slutpunkt för lagring. Det här steget skapar privata slutpunkter för blob-, kö-, fil- och tabellslutpunkterna på ditt lagringskonto när du skapar. Den här metoden integrerar effektivt ditt lagringskonto med det virtuella nätverket.

   Inställning	Föreslaget värde	beskrivning
   Lägga till privat slutpunkt för lagring	På	Möjligheten att konfigurera ditt program med integrering av virtuella nätverk när det skapas visas i portalen när det här alternativet har aktiverats.
   Namn på privat slutpunkt	myInboundPrivateEndpointName	Namn som identifierar lagringskontots privata slutpunkt.
   Privat slutpunktsundernät	Skapa Ny	Den här inställningen skapar ett nytt undernät för din inkommande privata slutpunkt på lagringskontot. Flera privata slutpunkter kan läggas till i ett enda undernät. Ange ett undernätsnamn. Adressblocket för undernätet kan vara kvar vid standardvärdet. Välj OK.
   DNS	Azure Private DNS zon	Det här värdet anger vilken DNS-server som din privata slutpunkt använder. I de flesta fall, om du arbetar inom Azure, är Azure Private DNS Zone den DNS-zon som du bör använda, eftersom användning av Manual för anpassade DNS-zoner kommer att innebära ökad komplexitet.

7. På sidan Övervakning anger du följande inställningar.

   Inställning	Föreslaget värde	beskrivning
   Application Insights	Standardvärde	Skapa en Application Insights-resurs med samma appnamn i närmaste region som stöds. Expandera den här inställningen om du behöver ändra Ny resursnamn eller lagra dina data på en annan plats i en Azure-geografi.

8. Aktivera följande inställning på sidan Avancerat .

   Inställning	Föreslaget värde	beskrivning
   Systemtilldelad identitet	På	Aktiverar en systemtilldelad hanterad identitet för funktionsappen, som du använder senare för att ansluta till Service Bus utan anslutningssträngar.

9. Välj Granska + skapa för att granska appkonfigurationsvalen.

10. Granska inställningarna på sidan Granska + skapa . Välj sedan Skapa för att skapa och distribuera funktionsappen.

11. I det övre högra hörnet i portalen väljer du ikonen Meddelanden och tittar på meddelandet Distributionen lyckades .

12. Välj Gå till resurs för att se den nya funktionsappen. Du kan också välja Fäst på instrumentbrädan. Att fästa gör det enklare att återgå till resursen för funktionsappen från instrumentpanelen.

Tänk på följande när du skapar och distribuerar din app:

• När du skapar en Funktionsapp för Premium-plan i portalen med ett lagringskonto som använder privata slutpunkter, anger portalen automatiskt sajtegenskapen vnetContentShareEnabled till true. Den här egenskapen säkerställer att trafik till innehållsdelningen på Azure Files, som används för att skala ut en app i en Premiumplan, dirigeras via det virtuella nätverket. Mer information finns i egenskapsreferensen för vnetContentShareEnabled-webbplats . För automatiserade distributioner måste du uttryckligen ange den här webbplatsegenskapen i distributionsmallen. Mer information finns i Säkra distributioner.

• Vissa distributioner kan ibland misslyckas med att skapa de privata slutpunkterna i lagringskontot med felet StorageAccountOperationInProgress. Det här felet inträffar även om själva funktionsappen skapas med framgång. När ett sådant fel uppstår tar du bort funktionsappen och försöker utföra åtgärden igen. Du kan i stället skapa de privata slutpunkterna på lagringskontot manuellt.

Skapa en Service Bus

Sedan skapar du en Service Bus-instans som används för att testa funktionaliteten hos din funktionsapps nätverksfunktioner i denna handledning.

1. På Azure-portalmenyn eller sidan Home väljer du Skapa en resurs.

2. På sidan Ny söker du efter Service Bus. Välj sedan Skapa.

3. På fliken Basics använder du följande tabell för att konfigurera inställningarna för Service Bus. Alla andra inställningar kan använda standardvärdena.

   Inställning	Föreslaget värde	beskrivning
   Subscription	Din prenumeration	Prenumerationen där dina resurser skapas.
   Resursgrupp	minResursgrupp	Den resursgrupp som du skapade med funktionsappen.
   Namnrymdens namn	myServiceBus	Namnet på den Service Bus instans som den privata slutpunkten är aktiverad för.
   Plats	myFunctionRegion	Den region där du skapade funktionsappen.
   Prisnivå	Premie	Välj den här nivån om du vill använda privata slutpunkter med Azure Service Bus.

4. Välj Förhandsgranska + skapa. När valideringen är klar väljer du Skapa.

Lås din Service Bus

Skapa den privata slutpunkten för att låsa din Service Bus:

1. I den nya Service Bus går du till menyn under Settings och väljer Networking.

2. På fliken Privata slutpunktsanslutningar väljer du Privat slutpunkt.

   

3. På fliken Grundläggande använder du de privata slutpunktsinställningar som visas i följande tabell.

   Inställning	Föreslaget värde	beskrivning
   Subscription	Din prenumeration	Prenumerationen där dina resurser skapas.
   Resursgrupp	minResursgrupp	Den resursgrupp som du skapade med funktionsappen.
   Namn	sb-slutpunkt	Namnet på den privata slutpunkten för servicebussen.
   Region	myFunctionRegion	Den region där du skapade ditt lagringskonto.

4. På fliken Resurs använder du de privata slutpunktsinställningar som visas i följande tabell.

   Inställning	Föreslaget värde	beskrivning
   Subscription	Din prenumeration	Prenumerationen under vilken dina resurser skapas.
   Resurstyp	Microsoft. ServiceBus/namnområden	Resurstypen för Service Bus.
   Resource	myServiceBus	Service Busen du skapade tidigare i självstudien.
   Målsubresurs	namnområde	Den privata slutpunkt som används för namnområdet från Service Bus.

5. På fliken Virtual Network väljer du det inkommande undernätet som du skapade för inställningen Subnet.

6. Lämna DNS och Taggar som standard och välj sedan Granska + skapa. När valideringen är klar väljer du Skapa.

7. När den privata slutpunkten har skapats går du tillbaka till avsnittet Networking i namnområdet Service Bus och kontrollerar fliken Public Access.

8. Kontrollera att Valda nätverk är markerade.

9. Välj + Lägg till befintligt virtuellt nätverk för att lägga till det nyligen skapade virtuella nätverket.

10. På fliken Lägg till nätverk använder du nätverksinställningarna från följande tabell:

    Inställning	Föreslaget värde	beskrivning
    Subscription	Din prenumeration	Prenumerationen under vilken dina resurser skapas.
    Virtuella nätverk	myVirtualNet	Namnet på det virtuella nätverk som funktionsappen ansluter till.
    Undernät	funktioner	Namnet på det undernät som funktionsappen ansluter till.

11. Välj Lägg till klientens IP-adress för att ge din aktuella klient-IP-åtkomst till namnområdet.

    Kommentar

    Att tillåta din klient-IP-adress är nödvändigt för att möjliggöra att Azure-portalen kan publicera meddelanden till kön senare i denna handledning.

12. Välj Aktivera för att aktivera tjänstslutpunkten.

13. Välj Lägg till för att lägga till det valda virtuella nätverket och undernätet i brandväggsreglerna för Service Bus.

14. Välj Spara för att spara de uppdaterade brandväggsreglerna.

Resurser i det virtuella nätverket kan nu kommunicera med Service Bus med hjälp av den privata slutpunkten.

Skapa en kö

Skapa kön där din Azure Functions Service Bus utlösare hämtar händelser:

1. I din Service Bus går du till menyn under Entiteter och väljer Queues.

2. Välj Kö. I den här självstudien anger du namnet queue som namnet på den nya kön.

   

3. Välj Skapa.

Ge funktionsappen åtkomst till Service Bus

Eftersom du aktiverade en systemtilldelad hanterad identitet när appen skapades kan du nu använda rollbaserad åtkomstkontroll (RBAC) för att ge funktionsappen åtkomst till din Service Bus.

1. Välj Access control (IAM) i namnområdet för din Service Bus.

2. Välj Lägg till>Lägg till rolltilldelning.

3. Sök efter Azure Service Bus datamottagare, välj rollen och välj sedan Nästa.

4. På fliken Medlemmar väljer du Hanterad identitet för Tilldela åtkomst till.

5. Välj + Välj medlemmar, leta upp och välj den hanterade identiteten för funktionsappen och välj sedan Välj.

6. Välj Granska + tilldela för att genomföra rolltilldelningen.

Mer information om identitetsbaserade anslutningar finns i Identitetsbaserade anslutningar i artikeln om Service Bus-bindningsreferens.

Konfigurera inställningarna för funktionsappen

1. I funktionsappen går du till menyn under Inställningar och väljer Miljövariabler.

2. Om du vill ansluta funktionsappen till Service Bus med hanterad identitet måste du lägga till en Service Bus namnområdesinställning. Välj + Lägg till för att skapa en ny inställning med namnet SERVICEBUS_CONNECTION__fullyQualifiedNamespace med värdet <SERVICE_BUS_NAMESPACE>.servicebus.windows.net, ersätta <SERVICE_BUS_NAMESPACE> med namnet på ditt Service Bus namnområde. När du är klar väljer du Använd.

3. Eftersom du använder en Elastic Premium-värdplan väljer du fliken Appinställningar i vyn Miljövariabler. Kontrollera att inställningen FUNCTIONS_WORKER_RUNTIME har värdet dotnet-isolated. Välj sedan fliken Funktionskörningsinställningar. Ange Körningsskalningsövervakning till På. Välj därefter Tillämpa. Med körningsdriven skalning kan du ansluta icke-HTTP-utlösarfunktioner till tjänster som körs i det virtuella nätverket.

   

Distribuera en Service Bus-utlösare och HTTP-utlösare

1. I funktionsappen går du till menyn under Inställningar och väljer Nätverk. Ange Åtkomst till Offentligt nätverktill Aktiverad från välj virtuella nätverk och IP-adresser och välj sedan Spara.

2. I GitHub går du till följande exempellagringsplats. Den innehåller en funktionsapp och två funktioner, en HTTP-utlösare och en Service Bus köutlösare.

   https://github.com/Azure-Samples/functions-vnet-tutorial

3. Längst upp på sidan väljer du Fork för att skapa en förgrening av den här lagringsplatsen i ditt eget GitHub konto eller organisation.

4. I funktionsappen går du till menyn under Distribution och väljer Distributionscenter. Välj sedan Inställningar.

5. På fliken Inställningar använder du de distributionsinställningar som visas i följande tabell.

   Inställning	Föreslaget värde	beskrivning
   Källa	GitHub	Du bör ha skapat en GitHub lagringsplats för exempelkoden i steg 2.
   Organisation	minOrganisation	Organisationen som din lagringsplats är incheckad i. Det är vanligtvis ditt konto.
   Lagringsplats	functions-vnet-tutorial	Lagringsplatsen har förgrenats härifrån.
   Filial	huvud	Huvudgrenen för lagringsplatsen som du skapade.
   Körningsstack	.NET	Exempelkoden finns i C#.
   Version:	.NET 8 isolerad	Körningstidsversionen.

6. Välj Spara.

   

7. Den första utrullningen kan ta några minuter. När appen har distribuerats visas statusmeddelandet Lyckad (Aktiv) på fliken Loggar. Uppdatera sidan om det behövs.

8. Nu när distributionen är klar kan du skydda appen igen. I funktionsappen går du till Inställningar>Nätverk och ställer in Åtkomst till offentligt nätverk tillbaka till Inaktiverad. Välj Spara.

Grattis! Du har framgångsrikt distribuerat din exempelfunktionsapp.

Testa din låsta funktionsapp

Eftersom funktionsappen har offentlig åtkomst inaktiverad kan du inte anropa HTTP-utlösarslutpunkten från det offentliga Internet. I stället verifierar du Service Bus köutlösare genom att skicka ett meddelande och övervaka funktionens körning i Application Insights.

1. I funktionsappen går du till menyn under Övervakning och väljer Application Insights. Välj Använd och välj sedan Visa Application Insights-data.

   

2. På menyn under Undersök väljer du Live-metrics.

3. Öppna en ny flik. I din Service Bus går du till menyn under Entiteter och väljer Queues.

4. Välj din kö.

5. I menyn väljer du Service Bus Explorer. Välj Skicka meddelanden och välj Text/oformaterad för Innehållstyp. Ange sedan ett meddelande.

6. Välj Skicka för att skicka meddelandet.

   

7. På fliken Live-metrics bör du se att din Service Bus-köutlösare har aktiverats. Om det inte har gjort det skickar du meddelandet igen från Service Bus Explorer.

   

Grattis! Du har framgångsrikt testat konfigurationen av din funktionsapp med privata slutpunkter.

Förstå privata DNS-zoner

Du använde en privat slutpunkt för att ansluta till Azure resurser. Du ansluter till en privat IP-adress i stället för den offentliga slutpunkten. Befintliga Azure tjänster är konfigurerade för att använda en befintlig DNS för att ansluta till den offentliga slutpunkten. Du måste åsidosätta DNS-konfigurationen för att ansluta till den privata slutpunkten.

En privat DNS-zon skapas för varje Azure resurs som har konfigurerats med en privat slutpunkt. En DNS-post skapas för varje privat IP-adress som är associerad med den privata slutpunkten.

Följande DNS-zoner skapades i den här handledningen:

• privatelink.file.core.windows.net
• privatelink.blob.core.windows.net
• privatelink.servicebus.windows.net
• privatelink.azurewebsites.net

Rensa resurser

I föregående steg skapade du Azure resurser i en resursgrupp. Om du inte förväntar dig att behöva dessa resurser i framtiden kan du ta bort dem genom att ta bort resursgruppen:

1. På Azure portalmenyn eller startsidan väljer du Resource-grupper>myResourceGroup.

2. I fönstret myResourceGroup kontrollerar du att resurserna i listan är de som du vill ta bort.

3. Välj Ta bort resursgrupp. Skriv myResourceGroup i textrutan för att bekräfta och välj sedan Ta bort.

Nästa steg

I den här självstudien skapade du en Premium-funktionsapp, ett lagringskonto och en Service Bus. Du har skyddat alla dessa resurser bakom privata slutpunkter.

Använd följande länkar för att lära dig mer Azure Functions nätverksalternativ och privata slutpunkter:

• Så här konfigurerar du Azure Functions med ett virtuellt nätverk
• Nätverksalternativ i Azure Functions
• Azure Functions Premium Plan
• Privata slutpunkter för Service Bus
• Azure Storage privata slutpunkter