Nasazení privátní šablony ARM s tokenem SAS

Pokud se šablona Azure Resource Manageru (šablona ARM) nachází v účtu úložiště, můžete omezit přístup k šabloně, abyste se vyhnuli jejímu zveřejnění veřejně. K zabezpečené šabloně přistupujete vytvořením tokenu sdíleného přístupového podpisu (SAS) pro šablonu a poskytnutím tohoto tokenu během nasazení. Tento článek vysvětluje, jak pomocí Azure PowerShellu nebo Azure CLI bezpečně nasadit šablonu ARM s tokenem SAS.

Najdete zde informace o tom, jak chránit a spravovat přístup k privátním šablonám ARM s pokyny, jak postupovat následovně:

• Vytvoření účtu úložiště se zabezpečeným kontejnerem
• Nahrání šablony do účtu úložiště
• Poskytnutí tokenu SAS během nasazení

Důležité

Místo zabezpečení privátní šablony pomocí tokenu SAS zvažte použití specifikací šablon. Pomocí specifikací šablon můžete své šablony sdílet s ostatními uživateli ve vaší organizaci a spravovat přístup k šablonám prostřednictvím Azure RBAC.

Vytvoření účtu úložiště se zabezpečeným kontejnerem

Následující skript vytvoří účet úložiště a kontejner s vypnutým veřejným přístupem pro zabezpečení šablony.

PowerShell

New-AzResourceGroup `
  -Name ExampleGroup `
  -Location "Central US"
New-AzStorageAccount `
  -ResourceGroupName ExampleGroup `
  -Name {your-unique-name} `
  -Type Standard_LRS `
  -Location "Central US"
Set-AzCurrentStorageAccount `
  -ResourceGroupName ExampleGroup `
  -Name {your-unique-name}
New-AzStorageContainer `
  -Name templates `
  -Permission Off

Azure CLI

az group create \
  --name "ExampleGroup" \
  --location "Central US"
az storage account create \
    --resource-group ExampleGroup \
    --location "Central US" \
    --sku Standard_LRS \
    --kind Storage \
    --name {your-unique-name}
connection=$(az storage account show-connection-string \
    --resource-group ExampleGroup \
    --name {your-unique-name} \
    --query connectionString)
az storage container create \
    --name templates \
    --public-access Off \
    --connection-string $connection

Nahrání privátní šablony do účtu úložiště

Teď jste připraveni nahrát šablonu do účtu úložiště. Zadejte cestu k šabloně, kterou chcete použít.

PowerShell

Set-AzStorageBlobContent `
  -Container templates `
  -File c:\Templates\azuredeploy.json

Azure CLI

az storage blob upload \
    --container-name templates \
    --file azuredeploy.json \
    --name azuredeploy.json \
    --connection-string $connection

Poskytnutí tokenu SAS během nasazení

Pokud chcete nasadit privátní šablonu v účtu úložiště, vygenerujte token SAS a zahrňte ji do identifikátoru URI šablony. Nastavte dobu vypršení platnosti, aby bylo možné dokončit nasazení dostatek času.

Důležité

Objekt blob obsahující soukromou šablonu je přístupný jenom vlastníkovi účtu. Při vytváření tokenu SAS pro objekt blob je však objekt blob přístupný každému, kdo má tento identifikátor URI. Pokud jiný uživatel zachytí identifikátor URI, bude mít tento uživatel přístup k šabloně. Token SAS je dobrý způsob, jak omezit přístup k šabloně, ale neměli byste do šablony zahrnout citlivá data, jako jsou hesla přímo v šabloně.

PowerShell

# get the URI with the SAS token
$templateuri = New-AzStorageBlobSASToken `
  -Container templates `
  -Blob azuredeploy.json `
  -Permission r `
  -ExpiryTime (Get-Date).AddHours(2.0) -FullUri

# provide URI with SAS token during deployment
New-AzResourceGroupDeployment `
  -ResourceGroupName ExampleGroup `
  -TemplateUri $templateuri

Azure CLI

Následující příklad funguje s prostředím Bash v Cloud Shellu. Jiná prostředí můžou k vytvoření času vypršení platnosti tokenu SAS vyžadovat jinou syntaxi.

expiretime=$(date -u -d '30 minutes' +%Y-%m-%dT%H:%MZ)
connection=$(az storage account show-connection-string \
    --resource-group ExampleGroup \
    --name {your-unique-name} \
    --query connectionString)
token=$(az storage blob generate-sas \
    --container-name templates \
    --name azuredeploy.json \
    --expiry $expiretime \
    --permissions r \
    --output tsv \
    --connection-string $connection)
url=$(az storage blob url \
    --container-name templates \
    --name azuredeploy.json \
    --output tsv \
    --connection-string $connection)
az deployment group create \
  --resource-group ExampleGroup \
  --template-uri $url?$token

Příklad použití tokenu SAS s propojenými šablonami najdete v tématu Použití propojených šablon s Azure Resource Managerem.

Další kroky

• Úvod k nasazování šablon najdete v tématu Nasazení prostředků pomocí šablon ARM a Azure PowerShellu.
• Pokud chcete definovat parametry v šabloně, přečtěte si téma Vytváření šablon.