Konfigurera lagring av Funktioner-värdnycklar på Azure Container Apps

Funktionsåtkomstnycklar är autentiseringstoken som Functions-körningen använder för att skydda HTTP-utlösta slutpunkter. När en anropare anropar en HTTP-funktion innehåller den en nyckel som en ?code= frågeparameter eller ett x-functions-key sidhuvud. Körmiljön validerar nyckeln och auktoriserar eller avvisar begäran.

Åtkomstnycklar är inte samma som hemligheter på appnivå. Åtkomstnycklar skyddar vem som kan anropa dina funktioner, medan hemligheter på appnivå skyddar vad dina funktioner ansluter till.

När du ska använda åtkomstnycklar

Förutsättningar

• Ett Azure-konto med en aktiv prenumeration. Skapa ett konto kostnadsfritt.
• Azure CLI version 2.40.0 eller senare.
• En befintlig Azure Functions app i Container Apps eller behörigheter för att skapa en.

Åtkomst till nyckeltyper

Functions-körningen hanterar fyra typer av nycklar:

Mönster för sekretessbelagt namn

Namngivningskonventionen för lagrade nycklar beror på lagringsserverdelen.

Nyckelvalv

I Key Vault-serverdelen lagras varje nyckel som en enskild Key Vault hemlighet med hjälp av en dubbelstreckskonvention (--):

Blob Storage

Blob Storage-serverdelen lagrar nycklar som JSON-filer i blobcontainern azure-webjobs-secrets. Alla nycklar på värdnivå (huvudnycklar, funktionsnycklar och systemnycklar) lagras tillsammans i en enda host.json blob. Nycklar per funktion lagras i separata blobar med namnet efter varje funktion.

Container Apps hemlighetslagring

Hemlighetslagret i Container Apps använder en annan konvention. Functions-värden läser nycklar från volymmonterade filer på /run/secrets/functions-keys/. Varje fil använder ett prickat namn (till exempel host.master), men Container Apps hemliga namn tillåter endast alfanumeriska gemener och bindestreck. När du monterar en hemlig volym måste du uttryckligen path ange fältet till det streckade filnamnet som Functions-värden förväntar sig (till exempel secretRef: host-master → path: host.master). Plattformen utför ingen automatisk namnöversättning.

Välj en lagringsbackend

AzureWebJobsSecretStorageType Ställ in miljövariabeln för att styra var körmiljön bevarar åtkomstnycklar. Azure Container Apps stöder tre produktionsklara backends.

Konfigurera containerapparnas hemlighetslagring

Container Apps hemlighetslagring är den rekommenderade backend. Nycklar finns kvar på Container Apps-plattformen och kräver ingen extern lagring eller Key Vault. Azure Resource Manager aktivitetsloggar spårar ändringar i hemligheter och miljövariabler.

Med den här back-end-lösningen läser Functionsvärd nycklar från filer som är volymmonterade på /run/secrets/functions-keys/. Värden skapar inte nycklar automatiskt. Du måste skapa varje nyckel som en Container Apps-hemlighet och plattformen monterar dem som filer som värden ska läsa.

Steg 1: Ange lagringstyp

az containerapp update \
  --resource-group "<RESOURCE_GROUP>" \
  --name "<FUNCTIONS_APP_NAME>" \
  --set-env-vars "AzureWebJobsSecretStorageType=containerapp"

Steg 2: Generera och lagra åtkomstnyckelhemligheter

Generera nyckelvärden och lagra dem som Container Apps-hemligheter. Du behöver minst huvudnyckeln och en standardvärdnyckel.

# Generate random key values
MASTER_KEY=$(openssl rand -hex 32)
HOST_DEFAULT_KEY=$(openssl rand -hex 32)

# Store as Container Apps secrets
az containerapp secret set \
  --resource-group "<RESOURCE_GROUP>" \
  --name "<FUNCTIONS_APP_NAME>" \
  --secrets "host-master=$MASTER_KEY" "host-function-default=$HOST_DEFAULT_KEY"

FUNC_KEY=$(openssl rand -hex 32)

az containerapp secret set \
  --resource-group "<RESOURCE_GROUP>" \
  --name "<FUNCTIONS_APP_NAME>" \
  --secrets "functions-myhttpfunc-default=$FUNC_KEY"

Steg 3: Konfigurera volymmonteringen

Montera hemligheterna som filer på /run/secrets/functions-keys/.

# Export current config
az containerapp show \
  --resource-group "<RESOURCE_GROUP>" \
  --name "<FUNCTIONS_APP_NAME>" \
  --output yaml > app.yaml

properties:
  template:
    volumes:
      - name: functions-keys
        storageType: Secret
        secrets:
          - secretRef: host-master
            path: host.master
          - secretRef: host-function-default
            path: host.function.default
    containers:
      - name: <CONTAINER_NAME>
        volumeMounts:
          - volumeName: functions-keys
            mountPath: /run/secrets/functions-keys

az containerapp update \
  --resource-group "<RESOURCE_GROUP>" \
  --name "<FUNCTIONS_APP_NAME>" \
  --yaml app.yaml

Steg 4: Verifiera

När appen har startats om bekräftar du att nycklarna fungerar:

az containerapp function keys list \
  --resource-group "<RESOURCE_GROUP>" \
  --name "<FUNCTIONS_APP_NAME>" \
  --key-type hostKey

Du kan också kontrollera apploggarna för meddelandet Resolved secret storage provider ContainerAppsSecretsRepository, som bekräftar att värden använder Container Apps-hemlighetsarkivet.

Rotera nycklar

Om du vill rotera en nyckel uppdaterar du Container Apps-hemligheten och startar om appen:

NEW_KEY=$(openssl rand -hex 32)

az containerapp secret set \
  --resource-group "<RESOURCE_GROUP>" \
  --name "<FUNCTIONS_APP_NAME>" \
  --secrets "host-function-default=$NEW_KEY"

az containerapp revision restart \
  --resource-group "<RESOURCE_GROUP>" \
  --name "<FUNCTIONS_APP_NAME>" \
  --revision "<REVISION_NAME>"

Konfigurera Blob Storage

Blob Storage-backend möjliggör att körmiljön automatiskt kan generera och hantera åtkomstnycklar. Använd det här alternativet när du redan har ett lagringskonto för AzureWebJobsStorage och inte behöver centraliserad styrning.

1. Aktivera hanterad identitet i containerappen (om den inte redan är aktiverad):

   az containerapp identity assign \
     --resource-group "<RESOURCE_GROUP>" \
     --name "<FUNCTIONS_APP_NAME>" \
     --system-assigned
   

2. Bevilja på lagringskontot rollen Storage Blob Data Contributor till den hanterade identiteten.

   PRINCIPAL_ID=$(az containerapp show \
     --resource-group "<RESOURCE_GROUP>" \
     --name "<FUNCTIONS_APP_NAME>" \
     --query identity.principalId \
     --output tsv)
   
   STORAGE_ID=$(az storage account show \
     --name "<STORAGE_ACCOUNT_NAME>" \
     --resource-group "<RESOURCE_GROUP>" \
     --query id \
     --output tsv)
   
   az role assignment create \
     --role "Storage Blob Data Contributor" \
     --assignee "$PRINCIPAL_ID" \
     --scope "$STORAGE_ID"
   

3. Ange lagringstyp:

   az containerapp update \
     --resource-group "<RESOURCE_GROUP>" \
     --name "<FUNCTIONS_APP_NAME>" \
     --set-env-vars "AzureWebJobsSecretStorageType=blob"
   

4. Körtiden skapar nycklar automatiskt vid nästa kallstart. Kontrollera:

   az containerapp function keys list \
     --resource-group "<RESOURCE_GROUP>" \
     --name "<FUNCTIONS_APP_NAME>" \
     --key-type hostKey
   

Konfigurera Key Vault

Key Vault-serverdelen lagrar åtkomstnycklar som Key Vault hemligheter, vilket ger granskning och åtkomstkontroll i företagsklass.

1. Skapa en Key Vault (om du inte har någon):

   az keyvault create \
     --name "<KEYVAULT_NAME>" \
     --resource-group "<RESOURCE_GROUP>" \
     --location "<LOCATION>"
   

2. Aktivera hanterad identitet i containerappen (om den inte redan är aktiverad):

   az containerapp identity assign \
     --resource-group "<RESOURCE_GROUP>" \
     --name "<FUNCTIONS_APP_NAME>" \
     --system-assigned
   

3. Ge rollen Key Vault Secrets Officer till den hanterade identiteten. Körningen behöver läs- och skrivåtkomst för att skapa och hantera nycklar:

   PRINCIPAL_ID=$(az containerapp show \
     --resource-group "<RESOURCE_GROUP>" \
     --name "<FUNCTIONS_APP_NAME>" \
     --query identity.principalId \
     --output tsv)
   
   KEYVAULT_ID=$(az keyvault show \
     --name "<KEYVAULT_NAME>" \
     --query id \
     --output tsv)
   
   az role assignment create \
     --role "Key Vault Secrets Officer" \
     --assignee "$PRINCIPAL_ID" \
     --scope "$KEYVAULT_ID"
   

4. Ange lagringstyp och Key Vault URI:

   För systemtilldelad identitet:

   az containerapp update \
     --resource-group "<RESOURCE_GROUP>" \
     --name "<FUNCTIONS_APP_NAME>" \
     --set-env-vars \
       "AzureWebJobsSecretStorageType=keyvault" \
       "AzureWebJobsSecretStorageKeyVaultUri=https://<KEYVAULT_NAME>.vault.azure.net"
   

   För användartilldelad identitet anger du även klient-ID:t:

   az containerapp update \
     --resource-group "<RESOURCE_GROUP>" \
     --name "<FUNCTIONS_APP_NAME>" \
     --set-env-vars \
       "AzureWebJobsSecretStorageType=keyvault" \
       "AzureWebJobsSecretStorageKeyVaultUri=https://<KEYVAULT_NAME>.vault.azure.net" \
       "AzureWebJobsSecretStorageKeyVaultClientId=<USER_ASSIGNED_IDENTITY_CLIENT_ID>"
   

5. Utveckla nyckelskapande genom att lista nycklar:

   az containerapp function keys list \
     --resource-group "<RESOURCE_GROUP>" \
     --name "<FUNCTIONS_APP_NAME>" \
     --key-type hostKey
   

Hantera åtkomstnycklar

Oavsett serverdel använder du följande kommandon för att lista, skapa och ta bort åtkomstnycklar:

# List all host keys
az containerapp function keys list \
  --resource-group "<RESOURCE_GROUP>" \
  --name "<FUNCTIONS_APP_NAME>" \
  --key-type hostKey

# List the master key
az containerapp function keys list \
  --resource-group "<RESOURCE_GROUP>" \
  --name "<FUNCTIONS_APP_NAME>" \
  --key-type masterKey

# Create or overwrite a custom host key
az containerapp function keys set \
  --resource-group "<RESOURCE_GROUP>" \
  --name "<FUNCTIONS_APP_NAME>" \
  --key-name "MyCustomKey" \
  --key-value "<YOUR_KEY_VALUE>" \
  --key-type hostKey

# Show a specific key
az containerapp function keys show \
  --resource-group "<RESOURCE_GROUP>" \
  --name "<FUNCTIONS_APP_NAME>" \
  --key-name "<KEY_NAME>" \
  --key-type hostKey

# Delete a host key
az containerapp function keys delete \
  --resource-group "<RESOURCE_GROUP>" \
  --name "<FUNCTIONS_APP_NAME>" \
  --key-name "MyCustomKey" \
  --key-type hostKey

Anropa en funktion med en åtkomstnyckel

Skicka nyckeln som en frågeparameter eller begärandehuvud.

# Query parameter
curl "https://<FUNCTIONS_APP_URL>/api/<FUNCTION_NAME>?code=<HOST_KEY>"

# Header
curl "https://<FUNCTIONS_APP_URL>/api/<FUNCTION_NAME>" \
  -H "x-functions-key: <HOST_KEY>"

Relaterat innehåll

• Översikt över Functions-hemligheter
• Lagra hemligheter på appnivå
• Hantera hemligheter i Azure Container Apps
• Hantera funktionstangenter
• Hanterade identiteter i Container Apps
• Översikt över Azure Functions i Azure Container Apps