Testujte zatížením zabezpečené koncové body pomocí Azure Load Testing.

V tomto článku se dozvíte, jak používat Azure Load Testing s koncovými body aplikace, které vyžadují ověřování. V závislosti na implementaci aplikace můžete pro ověřování požadavků použít přístupový token, přihlašovací údaje uživatele, spravovanou identitu nebo klientské certifikáty.

Azure Load Testing podporuje následující možnosti pro ověřené koncové body:

• Ověřování pomocí sdíleného tajného kódu nebo přihlašovacích údajů uživatele
• Ověřování pomocí klientských certifikátů
• Ověřování pomocí spravované identity

Požadavky

• Účet Azure s aktivním předplatným. Pokud nemáte předplatné Azure, vytvořte si bezplatný účet před zahájením.
• Prostředek zátěžového testování Azure. Pokud chcete vytvořit prostředek zátěžového testování, přečtěte si téma Vytvoření a spuštění zátěžového testu.

Ověřování pomocí sdíleného tajného klíče nebo přihlašovacích údajů

V tomto scénáři koncový bod aplikace vyžaduje, abyste k ověření použili sdílený tajný klíč, jako je přístupový token, klíč rozhraní API nebo přihlašovací údaje uživatele.

Následující diagram ukazuje, jak použít sdílené tajné kódy nebo přihlašovací údaje k ověření pomocí koncového bodu aplikace v zátěžovém testu.

Tok pro ověřování pomocí sdíleného tajného kódu nebo přihlašovacích údajů uživatele je:

1. Bezpečně uložte tajný klíč nebo přihlašovací údaje, například ve službě Azure Key Vault nebo v úložišti tajných kódů CI/CD.
2. Odkazujte na tajný údaj v konfiguraci zátěžového testu.
3. V případě testů založených na JMeteru načtěte tajnou GetSecret hodnotu pomocí funkce. U testů založených na Locustu získejte tajemství pomocí funkce getenv. Předejte do požadavku aplikace hodnotu tajného kódu.

Bezpečné uložení tajného kódu

Abyste se vyhnuli ukládání a zveřejnění informací o zabezpečení v testovacím skriptu, můžete bezpečně ukládat tajné kódy ve službě Azure Key Vault nebo v úložišti tajných kódů CI/CD.

Informace o zabezpečení můžete do úložiště tajných kódů přidat dvěma způsoby:

• Přidejte tajné informace ve službě Azure Key Vault. Postupujte podle kroků v parametrizaci zátěžových testů s tajnými kódy k uložení tajného kódu a autorizaci prostředku zátěžového testování ke čtení jeho hodnoty.

• Přidejte tajné informace jako tajný kód v CI/CD (tajné kódy GitHub Actions nebo proměnné tajných kódů Azure Pipelines).

Odkaz na tajný prvek v konfiguraci zátěžového testu

Než budete moct načíst hodnotu tajného kódu v testovacím skriptu JMeter, musíte na tajný kód odkazovat v konfiguraci zátěžového testu.

Azure Portal

Na webu Azure Portal můžete odkazovat na tajné kódy uložené ve službě Azure Key Vault. Přidání a konfigurace tajného kódu zátěžového testu na webu Azure Portal:

1. Na webu Azure Portal přejděte k vašemu prostředku zátěžového testování a výběrem možnosti Testy zobrazte seznam zátěžových testů.

2. V seznamu vyberte svůj test a pak vyberte Upravit a upravte konfiguraci zátěžového testu.

   

3. Na kartě Parametry zadejte podrobnosti tajného klíče.

   Obor	Hodnota
   název	Název tajného klíče. Tento název zadáte do funkce GetSecret, aby načetla tajnou hodnotu ve skriptu testu.
   Hodnota	Odpovídá identifikátoru tajného klíče služby Azure Key Vault.

   

4. Výběrem možnosti Použít uložte změny konfigurace zátěžového testu.

GitHub Actions

Pokud chcete do zátěžového testu přidat tajný kód v GitHub Actions, aktualizujte soubor YAML pracovního postupu GitHub Actions. V pracovním postupu přidejte parametr secrets k akci azure/load-testing.

Obor	Hodnota
název	Název tajného klíče. Tento název zadáte do funkce GetSecret, aby načetla tajnou hodnotu ve skriptu testu.
hodnota	Odkazuje na název tajného kódu GitHub Actions.

Následující fragment kódu poskytuje příklad konfigurace tajemství pro zátěžové testování v rámci GitHub Actions.

- name: 'Azure Load Testing'
    uses: azure/load-testing@v1
    with:
    loadtestConfigFile: 'SampleApp.yaml'
    loadtestResource: 'MyTest'
    resourceGroup: 'loadtests-rg'
    secrets: |
        [
            {
            "name": "appToken",
            "value": "${{ secrets.APP_TOKEN }}"
            }
        ]

Kanály Azure

Pokud chcete do zátěžového testu v Azure Pipelines přidat tajný klíč, aktualizujte definiční soubor Azure Pipelines. V potrubí přidejte parametr secrets do úlohy AzureLoadTest.

Obor	Hodnota
název	Název tajného klíče. Tento název zadáte do funkce GetSecret, aby načetla tajnou hodnotu ve skriptu testu.
hodnota	Odkazuje na název tajné proměnné Azure Pipelines.

Následující fragment kódu poskytuje příklad, jak konfigurovat tajemství zátěžového testu ve službě Azure Pipelines.

- task: AzureLoadTest@1
    inputs:
    azureSubscription: 'MyAzureLoadTestingRG'
    loadTestConfigFile: 'SampleApp.yaml'
    loadTestResource: 'MyTest'
    resourceGroup: 'loadtests-rg'
    secrets: |
        [
            {
            "name": "appToken",
            "value": "$(appToken)"
            }
        ]

Načtení a použití hodnoty tajného kódu ve skriptu JMeter

Teď můžete načíst tajnou hodnotu ve skriptu JMeter pomocí GetSecret vlastní funkce a předat ji v požadavku aplikace. Například k předání tokenu OAuth do požadavku použijte hlavičku Authorization HTTP.

1. Vytvořte uživatelem definovanou proměnnou, která načte hodnotu tajné hodnoty pomocí vlastní funkce GetSecret.

   Funkce GetSecret abstrahuje načtení hodnoty z Azure Key Vault nebo z úložiště tajných klíčů CI/CD.

   

2. Aktualizujte komponentu sampleru JMeter tak, aby předala tajný kód v požadavku.

   Pokud například chcete poskytnout přístupový token OAuth2, nakonfigurujete hlavičku Authorization HTTP přidáním HTTP Header Managerpříkazu :

   

Získat a použít tajnou hodnotu ve skriptu Locust

Nyní můžete načíst tajnou hodnotu ve skriptu Locust a předat ji do požadavku aplikace. Například k předání tokenu OAuth do požadavku použijte hlavičku Authorization HTTP.

Tajné kódy nakonfigurované v konfiguraci zátěžového testu jsou přístupné jako proměnné prostředí.

1. Inicializujte proměnnou s tajnou hodnotou pomocí tajného názvu zadaného v konfiguraci zátěžového testu.

my_secret = os.getenv("appToken")

1. Odkazujte na proměnnou ve vašem testovacím skriptu, abyste použili tajnou hodnotu uloženou v Azure KeyVault.

Ověřování pomocí klientských certifikátů

V tomto scénáři koncový bod aplikace vyžaduje, abyste k ověření použili klientský certifikát. Zátěžové testování Azure podporuje typ certifikátů PKCS12 (Public Key Certificate Standard). V zátěžovém testu můžete také použít více klientských certifikátů .

Následující diagram ukazuje, jak použít klientský certifikát k ověření pomocí koncového bodu aplikace v zátěžovém testu.

Tok ověřování pomocí klientských certifikátů je následující:

1. Bezpečně uložte klientský certifikát ve službě Azure Key Vault.
2. Odkazujte na certifikát v konfiguraci zátěžového testu.
3. U testů založených na JMeteru azure Load Testing transparentně předává certifikát do všech aplikací. V případě testů založených na Locustu můžete certifikát načíst ve svém testovacím skriptu a předat ho žádostem.

Uložení klientského certifikátu ve službě Azure Key Vault

Aby se zabránilo ukládání a zveřejnění klientského certifikátu společně se skriptem JMeter, uložíte certifikát ve službě Azure Key Vault.

Postupujte podle kroků v části Import certifikátu a uložte certifikát ve službě Azure Key Vault.

Důležité

Azure Load Testing podporuje pouze certifikáty PKCS12. Nahrajte klientský certifikát ve formátu souboru PFX.

Udělení přístupu k trezoru klíčů Azure

Při ukládání tajných kódů nebo certifikátů zátěžového testu ve službě Azure Key Vault používá váš prostředek zátěžového testování spravovanou identitu pro přístup k trezoru klíčů. Po konfiguraci spravované identity je nutné udělit této identitě vašeho prostředku zátěžového testování oprávnění k tomu, aby mohla číst tyto hodnoty z klíčového trezoru.

Udělit oprávnění vašim zátěžovým zdrojům Azure ke čtení tajemství nebo certifikátů ze služby Azure Key Vault:

1. Na webu Azure portal přejděte k prostředku Azure Key Vault.

   Pokud trezor klíčů nemáte, vytvořte ho podle pokynů v rychlém startu pro Azure Key Vault.

2. V levém podokně vyberte Zásady přístupu a pak vyberte + Vytvořit.

3. Na kartě Oprávnění v části Tajná oprávnění vyberte Získat a potom vyberte Další.

   Poznámka:

   Azure Load Testing načte certifikáty jako secret , aby byl k dispozici privátní klíč certifikátu.

4. Na kartě Hlavní vyhledejte a vyberte spravovanou identitu zátěžového testovacího prostředku a pak vyberte Další.

   Pokud používáte spravovanou identitu přiřazenou systémem, název spravované identity odpovídá názvu spravované identity prostředku zátěžového testování Azure.

5. Znovu vyberte Další .

   Když se test spustí, spravovaná identita přidružená k vašemu prostředku zátěžového testování teď může číst tajné kódy nebo certifikáty pro zátěžový test z vašeho trezoru klíčů.

Odkazování na certifikát v konfiguraci zátěžového testu

Pokud chcete klientský certifikát předat žádostem o aplikaci, musíte na certifikát odkazovat v konfiguraci zátěžového testu.

Azure Portal

Přidání klientského certifikátu do zátěžového testu na webu Azure Portal:

1. Na webu Azure Portal přejděte k vašemu prostředku zátěžového testování. Pokud ještě nemáte zátěžový test, vytvořte nový zátěžový test pomocí skriptu JMeter.

2. V levém podokně vyberte Testy a zobrazte seznam zátěžových testů.

3. V seznamu vyberte svůj test a pak vyberte Upravit a upravte konfiguraci zátěžového testu.

   

4. Na kartě Parametry zadejte podrobnosti o certifikátu.

   Obor	Hodnota
   název	Název certifikátu.
   Hodnota	Odpovídá identifikátoru tajemství Azure Key Vault certifikátu.

5. Výběrem možnosti Použít uložte změny konfigurace zátěžového testu.

GitHub Actions

Pokud chcete přidat klientský certifikát pro zátěžový test, aktualizujte certificates vlastnost v konfiguračním souboru YAML zátěžového testu.

Obor	Hodnota
název	Název klientského certifikátu.
hodnota	Odpovídá identifikátoru tajemství Azure Key Vault certifikátu.

certificates:
    - name: <my-certificate-name>
      value: <my-keyvault-secret-ID>

Kanály Azure

Pokud chcete přidat klientský certifikát pro zátěžový test, aktualizujte certificates vlastnost v konfiguračním souboru YAML zátěžového testu.

Obor	Hodnota
název	Název klientského certifikátu.
hodnota	Odpovídá identifikátoru tajemství Azure Key Vault certifikátu.

certificates:
    - name: <my-certificate-name>
      value: <my-keyvault-secret-ID>

Když spustíte zátěžový test, Azure Load Testing načte klientský certifikát ze služby Azure Key Vault a automaticky ho vloží do každého webového požadavku JMeter.

Pro testy založené na Locust můžete certifikát načíst a použít ho ve skriptu testů. Certifikát nakonfigurovaný v konfiguraci zátěžového testu je k dispozici v nástroji ALT_CERTIFICATES_DIR.

cert_dir = os.getenv("ALT_CERTIFICATES_DIR")

key_path = "client.key.pem"
crt_path = "client.crt.pem"


@events.test_start.add_listener
def on_test_start(environment, **kwargs):
    pfx_path = open(os.path.join(cert_dir, "cert_name_in_keyvault.pfx"))

    # Generate the private key
    subprocess.check_output(
        f'openssl pkcs12 -in "{pfx_path}" -out "{key_path}" -nocerts -nodes -passin pass:',
        shell=True,
        stderr=subprocess.STDOUT,
    )

    # Generate the public certificate
    subprocess.check_output(
        f'openssl pkcs12 -in "{pfx_path}" -out "{crt_path}" -clcerts -nokeys -passin pass:',
        shell=True,
        stderr=subprocess.STDOUT,
    )

Ověřování pomocí spravované identity

V tomto scénáři koncový bod aplikace vyžaduje, abyste k ověření použili spravovanou identitu. Můžete použít spravované identity přiřazené systémem i spravované identity přiřazené uživatelem.

Tok pro ověřování pomocí spravované identity je následující:

1. Přiřaďte spravovanou identitu, kterou cílový koncový bod identifikuje, k prostředku Azure Load Testing.
2. Vyberte spravovanou identitu v konfiguraci zátěžového testu.

Musíte nastavit skript zátěžových testů pro načtení přístupového tokenu pomocí spravované identity a použití tokenu k ověření požadavků na cílový koncový bod. Token můžete získat například prostřednictvím volání HTTP REST do koncového bodu služby Azure Instance Metadata Service (IMDS) a pak token předat do požadavku pomocí hlavičky Authorization HTTP.

Přiřaďte spravovanou identitu

Přiřaďte spravovanou identitu, která má požadovaný přístup k cílovému koncovému bodu, k prostředku Azure Load Testing. Když test spustíte, Azure Load Testing tuto identitu přiřadí instancím modulu. Tím se zajistí, že vaše požadavky na načtení přístupových tokenů pomocí spravované identity budou úspěšné.

Můžete použít spravovanou identitu přiřazenou systémem nebo spravovanou identitu přiřazenou uživatelem.

• Pokud chcete použít spravovanou identitu přiřazenou systémem, nejprve přiřaďte spravovanou identitu přiřazenou systémem k prostředku azure Load Testing. Po povolení zadejte požadovaná oprávnění RBAC pro tuto identitu v cílovém koncovém bodu.

• Pokud chcete použít spravovanou identitu přiřazenou uživatelem, nejprve přiřaďte identitu přiřazenou uživatelem k prostředku služby Azure Load Testing. Pokud tato identita nemá požadovaná oprávnění RBAC pro cílový koncový bod, zadejte požadovaná oprávnění. Pokud váš testovací skript používá více identit přiřazených uživatelem, přiřaďte k prostředku více identit a ujistěte se, že mají požadovaná oprávnění RBAC.

Výběr spravované identity v konfiguraci zátěžového testu

Při vytváření nebo úpravě testu ve službě Azure Load Testing vyberte požadovanou spravovanou identitu.

Azure Portal

Výběr a konfigurace spravované identity pro ověřování na webu Azure Portal:

1. Na webu Azure Portal přejděte k vašemu prostředku zátěžového testování a výběrem možnosti Testy zobrazte seznam zátěžových testů.

2. V seznamu vyberte svůj test a pak vyberte Upravit a upravte konfiguraci zátěžového testu.

   

3. Na kartě Testovací plán nakonfigurujte Spravovanou identitu pro scénáře ověřování. Podle potřeby vyberte Identitu přiřazenou systémem nebo Identitu přiřazenou uživatelem.

   

4. Pokud jste vybrali identitu přiřazenou uživatelem, vyberte požadované identity z rozevíracího seznamu Identita přiřazená uživatelem .

5. Výběrem možnosti Použít uložte změny konfigurace zátěžového testu.

GitHub Actions

Pokud chcete přidat spravovanou identitu pro ověřování v zátěžovém testu v GitHub Actions, aktualizujte soubor YAML pracovního postupu GitHub Actions.

Následující fragment kódu poskytuje příklad konfigurace spravované identity pro ověřování v GitHub Actions.

- name: 'Azure Load Testing'
    uses: azure/load-testing@v1
    with:
    loadtestConfigFile: 'SampleApp.yaml'
    loadtestResource: 'MyTest'
    resourceGroup: 'loadtests-rg'
    referenceIdentities:
        - kind: "Engine"
          type: "user-assigned"
          identity: /subscriptions/abcdef01-2345-6789-0abc-def012345678/resourceGroups/sample-rg/providers/Microsoft.ManagedIdentity/userAssignedIdentities/sample-identity

Kanály Azure

Pokud chcete přidat spravovanou identitu pro ověřování v zátěžovém testu ve službě Azure Pipelines, aktualizujte definiční soubor Azure Pipelines.

Následující fragment kódu poskytuje příklad konfigurace spravované identity pro ověřování ve službě Azure Pipelines.

- task: AzureLoadTest@1
    inputs:
    azureSubscription: 'MyAzureLoadTestingRG'
    loadTestConfigFile: 'SampleApp.yaml'
    loadTestResource: 'MyTest'
    resourceGroup: 'loadtests-rg'
    referenceIdentities:
        - kind: "Engine"
          type: "user-assigned"
          identity: /subscriptions/abcdef01-2345-6789-0abc-def012345678/resourceGroups/sample-rg/providers/Microsoft.ManagedIdentity/userAssignedIdentities/sample-identity

Důležité

Distribuce zatížení napříč oblastmi není povolená, pokud pro ověřování používáte spravované identity.

Související obsah

• Přečtěte si další informace o parametrizaci zátěžového testu.

• Přečtěte si další informace o použití více certifikátů v zátěžovém testu.