Kurz: Připojení do databáze PostgreSQL ze služby Java Tomcat App Service bez tajných kódů pomocí spravované identity

Článek
10/18/2023

služba Aplikace Azure service poskytuje vysoce škálovatelnou službu pro samoobslužné opravy webů v Azure. Poskytuje také spravovanou identitu pro vaši aplikaci, což je řešení pro zabezpečení přístupu ke službě Azure Database for PostgreSQL a dalším službám Azure. Spravované identity ve službě App Service usnadňují zabezpečení vaší aplikace odstraněním tajných kódů z vaší aplikace, jako jsou přihlašovací údaje v proměnných prostředí. V tomto kurzu se naučíte:

Vytvořte databázi PostgreSQL.
Nasaďte ukázkovou aplikaci do služby Aplikace Azure Service ve službě Tomcat pomocí balíčku WAR.
Nakonfigurujte webovou aplikaci Tomcat tak, aby používala ověřování Microsoft Entra s databází PostgreSQL.
Připojení do databáze PostgreSQL se spravovanou identitou pomocí služby Připojení or.

Pokud ještě nemáte předplatné Azure, vytvořte si bezplatný účet Azure před tím, než začnete.

Předpoklady

Git
Java JDK
Maven
Azure CLI verze 2.45.0 nebo vyšší

Naklonujte ukázkovou aplikaci a připravte úložiště.

Spuštěním následujících příkazů v terminálu naklonujte ukázkové úložiště a nastavte prostředí ukázkové aplikace.

git clone https://github.com/Azure-Samples/Passwordless-Connections-for-Java-Apps
cd Passwordless-Connections-for-Java-Apps/Tomcat/

Vytvoření Azure Database for PostgreSQL

Podle těchto kroků vytvořte ve svém předplatném Službu Azure Database for Postgres. Aplikace Tomcat se připojí k této databázi a uloží její data při spuštění a zachová stav aplikace bez ohledu na to, kde aplikaci spouštíte.

Přihlaste se k Azure CLI a volitelně nastavte své předplatné, pokud máte více než jedno připojené k přihlašovacím údajům.
```
az login
az account set --subscription <subscription-ID>
```

Vytvořte skupinu prostředků Azure, která označuje název skupiny prostředků.

export RESOURCE_GROUP=<resource-group-name>
export LOCATION=eastus

az group create --name $RESOURCE_GROUP --location $LOCATION

Vytvoření serveru Azure Database for PostgreSQL Server se vytvoří pomocí účtu správce, ale nepoužívá se, protože k provádění úloh správy použijeme účet správce Microsoft Entra.

Flexibilní server
Jeden server

export POSTGRESQL_ADMIN_USER=azureuser
# PostgreSQL admin access rights won't be used because Azure AD authentication is leveraged to administer the database.
export POSTGRESQL_ADMIN_PASSWORD=<admin-password>
export POSTGRESQL_HOST=<postgresql-host-name>

# Create a PostgreSQL server.
az postgres flexible-server create \
    --resource-group $RESOURCE_GROUP \
    --name $POSTGRESQL_HOST \
    --location $LOCATION \
    --admin-user $POSTGRESQL_ADMIN_USER \
    --admin-password $POSTGRESQL_ADMIN_PASSWORD \
    --public-access 0.0.0.0 \
    --sku-name Standard_D2s_v3

export POSTGRESQL_ADMIN_USER=azureuser
# PostgreSQL admin access rights won't be used because Azure AD authentication is leveraged to administer the database.
export POSTGRESQL_ADMIN_PASSWORD=<admin-password>
export POSTGRESQL_HOST=<postgresql-host-name>

# Create a PostgreSQL server.
az postgres server create \
    --resource-group $RESOURCE_GROUP \
    --name $POSTGRESQL_HOST \
    --location $LOCATION \
    --admin-user $POSTGRESQL_ADMIN_USER \
    --admin-password $POSTGRESQL_ADMIN_PASSWORD \
    --public-access 0.0.0.0 \
    --sku-name B_Gen5_1

Vytvořte databázi pro aplikaci.

Flexibilní server
Jeden server

export DATABASE_NAME=checklist

az postgres flexible-server db create \
    --resource-group $RESOURCE_GROUP \
    --server-name $POSTGRESQL_HOST \
    --database-name $DATABASE_NAME

export DATABASE_NAME=checklist

az postgres db create \
    --resource-group $RESOURCE_GROUP \
    --server-name $POSTGRESQL_HOST \
    --name $DATABASE_NAME

Nasazení aplikace do služby App Service

Pomocí těchto kroků sestavte soubor WAR a nasaďte ho do služby Aplikace Azure Service v Tomcatu pomocí balíčku WAR.

Ukázková aplikace obsahuje soubor pom.xml , který může vygenerovat soubor WAR. Spuštěním následujícího příkazu sestavte aplikaci.
```
mvn clean package -f pom.xml
```

Vytvořte prostředek služby Aplikace Azure v Linuxu pomocí Tomcat 9.0.

export APPSERVICE_PLAN=<app-service-plan>
export APPSERVICE_NAME=<app-service-name>
# Create an App Service plan
az appservice plan create \
    --resource-group $RESOURCE_GROUP \
    --name $APPSERVICE_PLAN \
    --location $LOCATION \
    --sku B1 \
    --is-linux

# Create an App Service resource.
az webapp create \
    --resource-group $RESOURCE_GROUP \
    --name $APPSERVICE_NAME \
    --plan $APPSERVICE_PLAN \
    --runtime "TOMCAT:10.0-java11"

Nasaďte balíček WAR do služby App Service.

az webapp deploy \
    --resource-group $RESOURCE_GROUP \
    --name $APPSERVICE_NAME \
    --src-path target/app.war \
    --type war

Připojení databáze Postgres s připojením identity

Dále připojte databázi pomocí service Připojení or.

Nainstalujte rozšíření service Připojení or bez hesla pro Azure CLI:

az extension add --name serviceconnector-passwordless --upgrade

Pak aplikaci připojte k databázi Postgres se spravovanou identitou přiřazenou systémem pomocí služby Připojení or.

Flexibilní server
Jeden server

Pokud chcete toto připojení vytvořit, spusťte příkaz az webapp connection create .

az webapp connection create postgres-flexible \
    --resource-group $RESOURCE_GROUP \
    --name $APPSERVICE_NAME \
    --target-resource-group $RESOURCE_GROUP \
    --server $POSTGRESQL_HOST \
    --database $DATABASE_NAME \
    --system-identity \
    --client-type java

Pokud chcete toto připojení vytvořit, spusťte příkaz az webapp connection create .

az webapp connection create postgres \
    --resource-group $RESOURCE_GROUP \
    --name $APPSERVICE_NAME \
    --target-resource-group $RESOURCE_GROUP \
    --server $POSTGRESQL_HOST \
    --database $DATABASE_NAME \
    --system-identity \
    --client-type java

Tento příkaz vytvoří připojení mezi vaší webovou aplikací a serverem PostgreSQL a spravuje ověřování prostřednictvím spravované identity přiřazené systémem.

Dále aktualizujte Nastavení aplikace a přidejte do připojovací řetězec modul plug-in.

export AZURE_POSTGRESQL_CONNECTIONSTRING=$(\
    az webapp config appsettings list \
        --resource-group $RESOURCE_GROUP \
        --name $APPSERVICE_NAME \
    | jq -c -r '.[] \
    | select ( .name == "AZURE_POSTGRESQL_CONNECTIONSTRING" ) \
    | .value')

az webapp config appsettings set \
    --resource-group $RESOURCE_GROUP \
    --name $APPSERVICE_NAME \
    --settings 'CATALINA_OPTS=-DdbUrl="'"${AZURE_POSTGRESQL_CONNECTIONSTRING}"'&authenticationPluginClassName=com.azure.identity.extensions.jdbc.postgresql.AzurePostgresqlAuthenticationPlugin"'

Otestování ukázkové webové aplikace

Spuštěním následujícího příkazu otestujte aplikaci.

export WEBAPP_URL=$(az webapp show \
    --resource-group $RESOURCE_GROUP \
    --name $APPSERVICE_NAME \
    --query defaultHostName \
    --output tsv)

# Create a list
curl -X POST -H "Content-Type: application/json" -d '{"name": "list1","date": "2022-03-21T00:00:00","description": "Sample checklist"}' https://${WEBAPP_URL}/checklist

# Create few items on the list 1
curl -X POST -H "Content-Type: application/json" -d '{"description": "item 1"}' https://${WEBAPP_URL}/checklist/1/item
curl -X POST -H "Content-Type: application/json" -d '{"description": "item 2"}' https://${WEBAPP_URL}/checklist/1/item
curl -X POST -H "Content-Type: application/json" -d '{"description": "item 3"}' https://${WEBAPP_URL}/checklist/1/item

# Get all lists
curl https://${WEBAPP_URL}/checklist

# Get list 1
curl https://${WEBAPP_URL}/checklist/1

Vyčištění prostředků

V předchozích krocích jste vytvořili prostředky Azure ve skupině prostředků. Pokud předpokládáte, že už tyto prostředky nebudete potřebovat, odstraňte skupinu prostředků spuštěním následujícího příkazu ve službě Cloud Shell:

az group delete --name myResourceGroup

Spuštění tohoto příkazu může trvat přibližně minut.

Další kroky

Přečtěte si další informace o spouštění aplikací v Javě na App Service v Linuxu v příručce pro vývojáře.

Příručka pro vývojáře v Javě v App Service Linux

Zjistěte, jak zabezpečit aplikaci pomocí vlastní domény a certifikátu.

Zabezpečení s využitím vlastní domény a certifikátu

Share via