Verwaltete Instanz in Azure App Service konfigurieren

verwaltete Instanz im Azure App Service ist eine plangefasste Hosting-Option für Windows-Webanwendungen, die eine Betriebssystemanpassung, optionale private Netzwerke und eine sichere Integration mit Azure-Diensten benötigen.

  • Verwaltete Identität
  • Konfigurationsskripts (Installation)
  • Speicherbefestigungen
  • Registrierungsschlüssel
  • Remotedesktopprotokoll (RDP)-Zugriff

Von Bedeutung

verwaltete Instanz ist in ausgewählten Regionen allgemein für Windows-Webanwendungen verfügbar und auf Pv4- und Pmv4-Preispläne beschränkt. Microsoft wird im Laufe der Zeit weitere Regionen hinzufügen. verwaltete Instanz unterstützt kein Linux und keine Container.

Hinzufügen einer verwalteten Identität (zum App Service-Plan)

Auf Planebene verwaltete Identitäten ermöglichen die Authentifizierung von Infrastrukturoperationen, die auf der Plattformebene stattfinden, wie Konfigurationsskripte (Installationsskripte), die während des Starts auf Azure Storage zugreifen, sowie Key Vault-Zugriff für Speichermounts und Registrierungsschlüsseladapter.

In den folgenden Szenarien sind verwaltete Identitäten für den App Service-Plan erforderlich:

  • Um sicher auf Ihr Konfigurationsskript in Azure Storage zuzugreifen und es abzurufen.
  • Für den Zugriff auf Schlüsseltresore, um Anmeldedaten und Werte für Speichereinbindungen und Registrierungsschlüsseladapter bereitzustellen.

Um eine verwaltete Identität zu erstellen, lesen Sie Verwalten von benutzerdefinierten verwalteten Identitäten.

So fügen Sie dem Plan für verwaltete Instanzen eine verwaltete Identität hinzu:

  1. Navigieren Sie im Azure-Portal zu Ihrer verwalteten Instanz.
  2. Wählen Sie Identität>Benutzerseitig zugewiesen aus.
  3. Klicken Sie auf + Hinzufügen.
  4. Wählen Sie das Abonnement und die verwaltete Identität aus.
  5. Wählen Sie Hinzufügen aus, um dem Plan die Identität hinzuzufügen.

Hinzufügen von Konfigurationsskripts (Installation)

Konfigurations- (Installations-)Skripte sind nicht verpflichtend. Verwenden Sie ein Skript, wenn Ihre App Abhängigkeiten installieren oder Betriebssystemfunktionen konfigurieren muss.

Konfigurationsskripts (Installation) werden beim Instanzstart ausgeführt, um dauerhafte Anpassungen anzuwenden. Beispiele sind die Registrierung des Component Object Model (COM), Microsoft/Windows Installers (MSI)-Installationen sowie das Aktivieren von Windows-Rollen/-Funktionen. Verwenden Sie Konfigurationsskripte für Änderungen, die über Instanz-Neustarts hinweg erhalten bleiben müssen. Verwende RDP für Diagnosen, nicht für persistente Konfigurationen.

Um Konfigurationsskripte (Installation) verwenden zu können, benötigen Sie Folgendes:

  • Eine verwaltete Identität, die dem App Service-Plan zugewiesen ist
  • Ein Speicherkonto mit einem Blob-Container, der das Konfigurationsskriptpaket (install) (ZIP) enthält.
  • Eine einzelne ZIP-Datei, deren Stammverzeichnis Install.ps1 enthält (Einstiegspunkt)
  • Storage Blob Data Reader-Rolle für das Speicherkonto, den Container oder die Ressourcengruppe

So fügen Sie ein Konfigurationsskript hinzu:

  1. Wechseln Sie im Azure-Portal zu Ihrem App Service-Plan für verwaltete Instanzen.

  2. Wählen SieKonfiguration>Allgemeine Einstellungen aus.

  3. Beginnen Sie im Abschnitt Konfigurationsskript mit der Konfiguration Ihres Skripts.

    Setting Wert
    Speicherkonto Wählen Sie Ihr Speicherkonto aus.
    Container Geben Sie den Namen Ihres Containers ein.
    ZIP-Datei Geben Sie den Namen der ZIP-Datei ein.
    Wert Überprüfen, ob dieser Wert korrekt ist

  4. Wählen Sie „Übernehmen“ aus, um die Änderungen zu speichern.

Bewährte Methoden für Konfigurationsskripts

  • Erstellen Sie Skripts idempotent (vor der Installation überprüfen).
  • Schützen Sie destruktive Vorgänge (vermeiden Sie das Ändern geschützter Windows-Systemverzeichnisse).
  • Staffeln Sie große Installationen, um die Startlatenz zu reduzieren.

Beispiel für minimale ZIP-Struktur:

Install.ps1
myInstallerfileNameGoesHere.msi
config.xml

Beispiel für Konfigurationsskript

# Install Components, for example Crystal Reports, Control Library, Database Driver
$ComponentInstaller = "myInstallerFileNameGoesHere.msi"
try {
    $Component = Join-Path $PSScriptRoot $ComponentInstaller
    Start-Process $Component -ArgumentList "/q" -Wait -ErrorAction Stop
} catch {
    Write-Error "Failed to install ${ComponentInstaller}: $_"
    exit 1
}

Konfigurieren von Speichereinbindungen

Speicherbereitstellungen stellen dauerhaften externen Speicher wie Azure Files bereit, auf den Ihre App zugreifen kann. Verwenden Sie Speicherbereitstellungen für Legacy-Code, der gemeinsamen Dateisystemzugriff benötigt. Verwenden Sie keine Speichereinbindungen für Geheimnisse; verwenden Sie stattdessen Key Vault. Lokaler Speicher ist temporär, aber Azure Files und benutzerdefinierte UNC-Mounts bleiben auch bei Neustarts bestehen.

Für die Konfiguration von Speichereinbindungen benötigen Sie Folgendes:

  • Verwaltete Identität (für den Key Vault-Zugriff)
  • Schlüsseltresorgeheimnis (Anmeldeinformationsquelle)

Zur Konfiguration von Speichereinbindungen:

  1. Navigieren Sie im Azure-Portal zu Ihrer verwalteten Instanz.
  2. Wählen Sie Konfiguration>Einbindungen aus.
  3. Wählen Sie + Neue Speichereinbindung aus.

Geben Sie die folgenden Details zum Konfigurieren der Speichereinbindung an:

Setting Wert
Name Geben Sie einen Einbindungsnamen ein.
Speichertypus Azure Files, benutzerdefiniert oder lokal (temporärer Speicher)
Speicherkonto Auswählen oder Eingeben eines Speicherkontos
Dateifreigabe Auswählen einer Dateifreigabe
Wert Auswählen einer Key Vault-Instanz
Geheim Auswählen des Schlüsseltresorschlüssels
Bereitstellen des Laufwerkbuchstaben Laufwerkbuchstabenpfad auswählen

Sie können externen Speicher in Ihre verwaltete Instanz einbinden. Der bereitgestellte Speicher ist über Neustarts hinweg persistent und kann über das Dateisystem Ihrer App zugänglich sein.

Konfigurieren von Speichereinbindungen mit Azure Files

So konfigurieren Sie eine Azure Files-Speichereinbindung:

  1. Erstellen Sie ein Azure-Speicherkonto und eine Azure Files-Freigabe.
  2. Speichern Sie eine Verbindungsanmeldeinformationen im Key Vault als geheimen Schlüssel. Unterstützte geheime Inhalte: (z. B.: DefaultEndpointsProtocol=...;AccountName=...;AccountKey=...;EndpointSuffix=core.windows.net)
  3. Fügen Sie die Bereitstellung in verwalteter Instanz (Azure-Portal oder ARM/Bicep/Terraform) hinzu.

Tipp

Setzen Sie Berechtigungen auf Freigabeebene über Azure RBAC + Freigabe-ACLs für erhöhte Sicherheit durch.

Konfigurieren von Speichereinbindungen mit benutzerdefiniertem UNC

Verwenden Sie Einbindungen für an anderer Stelle gehostete SMB-Freigaben (lokal, VM oder Nicht-Microsoft). Stellen Sie die Netzwerkkonnektivität (virtuelle Netzwerkintegration/ private Endpunkte/Firewalls) sicher.

  1. Wenn Anmeldeinformationen erforderlich sind, speichern Sie sie in einem Schlüsseltresorschlüssel im Format: username=<user>,password=<password>
    • Vermeiden Sie Domänenadminkonten; verwenden Sie eine Dienstidentität mit geringsten Rechten.
  2. Fügen Sie die Einbindung in der verwalteten Instanz hinzu.

Konfigurieren von Registrierungsschlüsseln

Einige Anwendungen sind von Werten abhängig, die aus der Windows-Registrierung gelesen werden. Mit einem Registrierungsschlüsseladapter können Sie Registrierungsschlüssel erstellen und geheime Schlüssel aus Azure Key Vault als Wert verwenden.

Zum Konfigurieren von Registrierungsschlüsseln benötigen Sie Folgendes:

  • Verwaltete Identität (für den Key Vault-Zugriff)
  • Schlüsseltresorgeheimnis (Anmeldeinformationsquelle)

So konfigurieren Sie Registrierungsschlüssel:

  1. Wechseln Sie zuKonfiguration>Registrierungsschlüssel.

  2. Klicken Sie auf + Hinzufügen.

    Setting Wert
    Pfad Geben Sie den Registrierungspfad ein.
    Tresor Geben Sie einen vorhandenen Tresornamen ein.
    Geheim Auswählen oder Eingeben des Schlüsseltresorschlüssels
    Typ Zeichenfolge oder DWORD

  3. Wählen Sie Hinzufügen aus, um den Registrierungsschlüssel hinzuzufügen.

Vorsicht

Seien Sie vorsichtig, wenn Sie systemkritische Registrierungspfade ändern. Falsche Änderungen können sich auf die Instanzstabilität auswirken.

Konfigurieren des RDP-Zugriffs (Bastion)

Schnellstart: Die automatische Bereitstellung von Azure Bastion ermöglicht Ihnen eine sichere Verbindung mit Ihren VM-Instanzen über das Remotedesktopprotokoll (RDP). RDP über Azure Bastion ist für Diagnostik und Fehlerbehebung gedacht. Verwenden Sie Konfigurationsskripte für persistente Änderungen.

Sie benötigen die folgenden Ressourcen für Bastion-/RDP-Zugriff:

  • Verwaltete Instanz muss ein virtuelles Netzwerk integriert sein.
  • Azure Bastion-Host im virtuellen Zielnetzwerk
  • Port 3389 muss vom Bastion-Subnetz NSG zum App Service Plan Subnetz NSG zugelassen werden.

So konfigurieren Sie Bastion:

  1. Wechseln Sie zu Konfiguration>Bastion/RDP.
  2. Überprüfen Sie, ob das virtuelle Netzwerk verbunden ist.
  3. Wählen Sie Remotedesktop zulassen (über Bastion) aus.

Vorsicht

Führen Sie manuelle Installationen oder Konfigurationsänderungen nicht ausschließlich über RDP durch. Änderungen gehen beim Wiederverwenden oder Erstellen von Konfigurationsabweichungen verloren.

Häufig gestellte Fragen (FAQ)

Welches Betriebssystem wird auf der verwalteten Instanz für Azure App Service ausgeführt?

Windows Server 2022.

Kann ich weitere Windows-Rollen und -Features aktivieren?

Ja, über ein Konfigurationsskript. Allerdings kannst du keine Funktionen konfigurieren, die aus einer zukünftigen Version von Windows Server entfernt wurden.

Empfängt die verwaltete Instanz für Azure App Service regelmäßige Plattform- und Anwendungsstapelupdates?

Ja, Instanzen erhalten routinemäßige Plattformupdates und Wartung. Der Dienst aktualisiert außerdem regelmäßig vorinstallierte Anwendungsstacks. Du bist verantwortlich für die Wartung aller Komponenten, die du über Konfigurationsskripte installierst.

Welche Programmiersprachen werden auf der verwalteten Instanz für Azure App Service installiert?

Der Dienst umfasst Microsoft .NET Framework 3.5, 4.8 und Microsoft .NET 8.0. Wenn du andere Laufzeitumgebungen brauchst, installiere sie mit einem Konfigurationsskript. Der Azure App Service verwaltet keine zusätzlichen Laufzeiten als Teil der Plattform.

Welche Einschränkungen gelten für die Konfigurationsskripts (Installation)?

Welche Beschränkungen gelten für Konfigurationsskripte (Installationsskripte)?

Konfigurationsskripts (Installation) können Abhängigkeiten installieren, Rollen und Features aktivieren und das Betriebssystem anpassen. Der Dienst unterstützt jedoch keine destruktiven Operationen (zum Beispiel Löschen Windows\\System32), da diese die Stabilität der Instanz beeinträchtigen können.

Auf welcher Berechtigungsstufe wird ein Konfigurationsskript (Installation) ausgeführt?

Konfigurationsskripts (Installation) werden mit Adminberechtigungen ausgeführt, um die Installation und Konfiguration von Komponenten auf Systemebene zu ermöglichen.

Welche Rollenberechtigungen hat ein Operator beim Herstellen einer Verbindung mit einer Instanz mithilfe von Bastion?

Operatoren, die über Bastion verbunden sind, verfügen während der Sitzung über Adminrechte.

Wie behebt ich Fehler mit meinem Konfigurationsskript (Installation) oder Registrierungs-/Speicheradaptern?

Operatoren, die sich über Bastion verbinden, haben während der Sitzung Administratorrechte . Man findet Adapter-Logs im Root-Bereich der Maschine oder sie sind in App Service Platform Logs eingeloggt.

Adapterprotokolle finden Sie im Stammverzeichnis des Computers, alternativ werden sie in App Service Platform Logs angemeldet.

Was ist der adressierbare Speicher einer verwalteten Instanz für Azure App Service-Workerinstanz?

Der adressierbare Speicher einer verwaltete Instanz auf der Azure App Service Worker Instance variiert je nach gewähltem Preisplan. Die folgende Tabelle listet den adressierbaren Speicher für die verwaltete Instanz Worker-Instanz auf.

Preisplan Kerne Arbeitsspeicher (MB)
P0v4 1 2048
P1v4 2 5952
P2v4 4 13.440
P3v4 8 28672
P1Mv4 2 13.440
P2Mv4 4 28672
P3Mv4 8 60160
P4Mv4 16 121088
P5Mv4 32 246016

Welchen Azure Storage-Dienst sollte ich zum Hochladen eines Konfigurationsskripts (Installation) verwenden?

Verwenden Sie den Azure Storage-Blob-Dienst zum Hochladen des Skripts und der erforderlichen Abhängigkeiten.

Gibt es eine Einschränkung bei der Benennung und dem Format für das Konfigurationsskript (Installation)?

Ja, das Skript muss Install.ps1 benannt werden. Nur PowerShell wird unterstützt. Stellen Sie sicher, dass Konfigurationsskripts und Abhängigkeiten als einzelne ZIP-Datei hochgeladen werden.

Gibt es eine Größenbeschränkung für die Abhängigkeiten, die ich als Teil der ZIP-Datei hochladen kann?

Es wird keine Größenbeschränkung erzwungen. Denken Sie daran, dass sich die Gesamtgröße der Abhängigkeiten auf die Bereitstellungszeit der Instanz auswirkt.

Startet das Hinzufügen oder Bearbeiten der verwalteten Instanz für Azure App Service-Planadaptern die Planinstanzen neu?

Ja, das Hinzufügen oder Bearbeiten von verwaltete Instanz-Planadaptern (Konfigurationsskript, Speicher oder Registry) startet die zugrundeliegenden Instanzen neu und betrifft alle Webanwendungen, die im Plan bereitgestellt werden. Instanz-Neustarts sind erforderlich, um Konfigurationsänderungen vorzunehmen.

Mein Verwalteter Instanzen-Plan hat mehrere Instanzen. Kann ich eine einzelne Instanz neu starten?

Ja, navigieren Sie zur verwalteten Instanz, und wählen Sie im linken Menü „Instanzen“ aus. Wählen Sie dann neben dem Namen der Instanz „Neustart“ aus.

Kann ich in meinem App Service-Plan mit verwalteter Instanz eine einzelne Webanwendung neu starten, obwohl er mehrere Webanwendungen umfasst?

Ja, navigieren Sie zur Seite Übersicht in der App, und wählen Sie Neu starten aus.

Kann ich meiner Webanwendung in der Verwalteten Instanz im App Service-Plan verwaltete Identität zuweisen?

Ja, Sie können einer Webanwendung innerhalb der verwalteten Instanz eine andere verwaltete Identität zuweisen. Befolgen der Richtlinien für verwaltete Identitäten

Gibt es eine Einschränkung für die Anzahl der Adapter, die ich für die Verwaltete Instanz im App Service-Plan erstellen kann?

Gibt es eine Begrenzung für die Anzahl der Adapter, die ich für den verwaltete Instanz im App Service-Plan erstellen kann?

Nein, es gibt keine Beschränkung für die Anzahl der Speicher- oder Registrierungsadapter. Sie können nur einen einzelnen Konfigurationsskriptadapter (Installation) für die Verwaltete Instanz im App Service-Plan erstellen. Eine höhere Anzahl von Adaptern könnte die Bereitstellungszeit der Instanz erhöhen.

Verwandte Inhalte

  • Last updated on