Consideraciones de almacenamiento de Azure Functions
Azure Functions necesita una cuenta de Azure Storage para crear una instancia de la aplicación de funciones. La aplicación de funciones podría usar los siguientes servicios de almacenamiento:
| Servicio de Storage | Uso de Functions |
|---|---|
| Almacenamiento de blobs de Azure | Mantener el estado de los enlaces y las teclas de función 1. Se utiliza de manera predeterminada en la central de tareas de Durable Functions. Se puede usar para almacenar el código de la aplicación de funciones para la Compilación remota del Consumo para Linux o como parte de las implementaciones de URL de paquetes externos. |
| Azure Files2 | Recurso compartido de archivos que se utiliza para almacenar y ejecutar el código de la aplicación de funciones en un plan de consumo y un plan prémium. |
| Azure Queue Storage | Se utiliza de manera predeterminada en la central de tareas de Durable Functions. Se usa para el control de errores y reintentos en desencadenadores específicos de Azure Functions. Se usa para el seguimiento de objetos mediante el desencadenador Blob Storage. |
| Azure Table Storage | Se utiliza de manera predeterminada en la central de tareas de Durable Functions. |
1 Blob Storage es el almacén predeterminado para las claves de función, pero puedes configurar un almacén alternativo.
2 Azure Files está configurado de forma predeterminada, pero puedes crear una aplicación sin Azure Files en determinadas condiciones.
Consideraciones importantes
Debe tener en cuenta los siguientes hechos relacionados con las cuentas de almacenamiento usadas por las aplicaciones de función:
Cuando la aplicación de funciones se hospeda en el plan de Consumo o en el plan Premium, el código de función y los archivos de configuración se almacenan en Azure Files en la cuenta de almacenamiento vinculada. Al eliminar esta cuenta de almacenamiento, el contenido se borra y no se puede recuperar. Para más información, consulte Se eliminó la cuenta de almacenamiento .
Los datos importantes, como el código de función, las claves de acceso y otros datos importantes relacionados con el servicio, se pueden conservar en la cuenta de almacenamiento. Debe administrar cuidadosamente el acceso a las cuentas de almacenamiento que usan las aplicaciones de funciones de las siguientes maneras:
Audite y limite el acceso de las aplicaciones y los usuarios a la cuenta de almacenamiento en función de un modelo con privilegios mínimos. Los permisos para la cuenta de almacenamiento pueden proceder de acciones de datos en el rol asignado o del permiso para realizar la operación listKeys.
Supervise la actividad del plano de control (por ejemplo, la recuperación de claves) y las operaciones del plano de datos (como escribir en un blob) en la cuenta de almacenamiento. Considere la posibilidad de mantener los registros de almacenamiento en una ubicación distinta de Azure Storage. Para más información, consulte Registros de Storage.
Requisitos de la cuenta de almacenamiento
Las cuentas de almacenamiento creadas como parte del flujo de creación de la aplicación de función en el Azure Portal están garantizadas para funcionar con la nueva aplicación de función. Cuando decide usar una cuenta de almacenamiento existente, la lista proporcionada no incluye determinadas cuentas de almacenamiento no admitidas. Las restricciones siguientes se aplican a las cuentas de almacenamiento usadas por la aplicación de funciones, por lo que debe asegurarse de que una cuenta de almacenamiento existente cumple estos requisitos:
El tipo de cuenta debe ser compatible con el almacenamiento en Blob, Cola y Tabla. Algunas cuentas de almacenamiento no admiten el uso de colas y tablas; Estas cuentas incluyen cuentas de almacenamiento solo de blobs y Azure Premium Storage. Para más información sobre los tipos de cuentas de almacenamiento, consulte Introducción a las cuentas de almacenamiento.
No se puede usar una cuenta de almacenamiento ya protegida mediante un firewall o una red privada virtual al crear la aplicación de funciones en Azure Portal. Sin embargo, el portal no filtra actualmente estas cuentas de almacenamiento protegidas. Para obtener información sobre cómo usar una cuenta de almacenamiento protegida con la aplicación de funciones, consulte Uso de una cuenta de almacenamiento protegida con Azure Functions.
No puede usar cuentas de almacenamiento protegidas con aplicaciones de funciones hospedadas en el plan de consumo.
Al crear la aplicación de funciones en el portal, solo se le permite elegir una cuenta de almacenamiento existente en la misma región que la aplicación de funciones que va a crear. Se trata de una optimización del rendimiento y no una limitación estricta. Para más información, consulte Ubicación de la cuenta de almacenamiento.
Al crear la aplicación de funciones en un plan con la compatibilidad con zonas de disponibilidad habilitada, solo se admiten cuentas de almacenamiento con redundancia de zona.
Puede crear aplicaciones de funciones en un plan Elastic Premium o Dedicado (App Service) mediante la automatización de la implementación. Sin embargo, debe incluir configuraciones de red específicas en la plantilla de ARM o en el archivo de Bicep. Si no incluye esta configuración y recursos, la implementación automatizada podría producir un error en la validación. Para más información, consulte Implementaciones protegidas.
Guía de la cuenta de almacenamiento
Cada aplicación de función requiere una cuenta de almacenamiento para funcionar. Si se elimina esa cuenta, la aplicación de funciones no se ejecutará. Para más información, consulte este artículo sobre la solución de problemas relacionados con el almacenamiento. Las consideraciones que se indican a continuación también se aplican a la cuenta de almacenamiento que se utiliza en las aplicaciones de funciones.
Ubicación de la cuenta de almacenamiento
Para obtener el mejor rendimiento, la aplicación de función debe usar una cuenta de almacenamiento de la misma región, lo que reduce la latencia. En Azure Portal se aplica este procedimiento recomendado. Si, por alguna razón, necesita usar una cuenta de almacenamiento de una región diferente a la de la aplicación de funciones, debe crear la aplicación de funciones fuera del portal.
La cuenta de almacenamiento debe ser accesible para la aplicación de funciones. Si necesitas usar una cuenta de almacenamiento segura, considera restringir tu cuenta de almacenamiento a una red virtual.
Configuración de la conexión de la cuenta de almacenamiento
De manera predeterminada, las aplicaciones de funciones establecen la conexión AzureWebJobsStorage como una cadena de conexión almacenada en la configuración de la aplicación AzureWebJobsStorage, pero también puede configurar AzureWebJobsStorage para que use una conexión basada en identidad sin secreto.
Las aplicaciones de funciones que se ejecutan en un plan de consumo (solo Windows) o un plan Elastic Premium (Windows o Linux) pueden usar Azure Files para almacenar las imágenes necesarias para habilitar el escalado dinámico. Para estos planes, establezca la cadena de conexión para la cuenta de almacenamiento en la configuración de WEBSITE_CONTENTAZUREFILECONNECTIONSTRING y el nombre del recurso compartido de archivos en la configuración de WEBSITE_CONTENTSHARE. Normalmente es la misma cuenta que se usa para AzureWebJobsStorage. También puede crear una aplicación de funciones que no use Azure Files, pero el escalado podría ser limitado.
Nota:
Se debe actualizar una cadena de conexión de la cuenta de almacenamiento cuando se regeneran las claves de almacenamiento. Más información sobre la administración de las claves de almacenamiento.
Cuentas de almacenamiento compartidas
Una misma cuenta de almacenamiento puede estar compartida entre varias aplicaciones de funciones sin que se produzcan problemas. Por ejemplo, en Visual Studio, puede desarrollar varias aplicaciones con el Emulador de Azurite Storage. En este caso, el emulador actúa como una cuenta de almacenamiento única. La cuenta de almacenamiento que se utiliza en la aplicación de funciones puede usarse también para almacenar los datos de la aplicación. Sin embargo, este enfoque no siempre resulta conveniente en los entornos de producción.
Es posible que tenga que usar cuentas de almacenamiento independientes para evitar colisiones de los id.de host.
Consideraciones sobre la directiva de administración del ciclo de vida
No debe aplicar directivas de administración del ciclo de vida a la cuenta de Blob Storage que usa la aplicación de funciones. Functions usa Blob Storage para conservar información importante, como las claves de acceso de funciones, y las directivas pueden quitar blobs (como claves) necesarios para el host de Functions. Si necesita usar directivas, excluya los contenedores usados por Functions, que llevan el prefijo azure-webjobs o scm.
Registros de almacenamiento
Dado que el código de función y las claves pueden persistir en la cuenta de almacenamiento, el registro de la actividad contra la cuenta de almacenamiento es una buena manera de supervisar los accesos no autorizados. Los registros de recursos de Azure Monitor se pueden usar para realizar un seguimiento de los eventos en el plano de datos de almacenamiento. Consulta Supervisión de Azure Storage para más información sobre cómo configurar y examinar estos registros.
El registro de actividad de Azure Monitor muestra los eventos del plano de control, incluida la operación listKeys. Sin embargo, también debe configurar los registros de recursos para que la cuenta de almacenamiento realice un seguimiento del uso posterior de claves u otras operaciones del plano de datos basado en identidades. Debería tener habilitada al menos la categoría de registro StorageWrite para poder identificar las modificaciones de los datos fuera de las operaciones normales de Funciones.
Para limitar el posible impacto de los permisos de almacenamiento de ámbito amplio, considere la posibilidad de usar un destino que no sea de almacenamiento para estos registros, como Log Analytics. Para más información, consulte Supervisión de Azure Blob Storage.
Optimización del rendimiento de almacenamiento
Para maximizar el rendimiento, use una cuenta de almacenamiento independiente para cada aplicación de función. Esto es especialmente importante si tiene funciones desencadenadas por Durable Functions o Event Hubs, que generan un gran volumen de transacciones de almacenamiento. Cuando la lógica de la aplicación interactúa con Azure Storage, ya sea directamente (con el SDK de Storage) o a través de uno de los enlaces de almacenamiento, debe usar una cuenta de almacenamiento dedicada. Por ejemplo, si tiene una función desencadenada por Event Hubs que escribe datos en Blob Storage, use dos cuentas de almacenamiento: una para la aplicación de función y otra para los blobs que almacena la función.
Trabajo con blobs
Un escenario clave para Functions es el procesamiento de archivos en un contenedor de blobs, como el procesamiento de imágenes o el análisis de sentimiento. Para más información, consulte Procesamiento de cargas de archivos.
Desencadenador en un contenedor de blobs
Hay varias maneras de ejecutar el código de función según los cambios en los blobs de un contenedor de almacenamiento. Use la tabla siguiente para determinar qué desencadenador de función se adapta mejor a sus necesidades:
| Consideración | Blob Storage (sondeo) | Blob Storage (basado en eventos) | Queue Storage | Event Grid |
|---|---|---|---|---|
| Latencia | Alto (hasta 10 minutos) | Bajo | Media | Bajo |
| Limitaciones de la cuenta de almacenamiento | Las cuentas de solo blobs no se admiten¹ | no se admite la versión 1 de uso general | ninguno | no se admite la versión 1 de uso general |
| Versión de la extensión | Any | Storage v5.x+ | Any | Any |
| Procesa los blobs existentes | Sí | No | N.º | No |
| Filtros | Patrón de nombre de blob | Filtros de eventos | N/D | Filtros de eventos |
| Requiere una suscripción de eventos | No | Sí | No | Sí |
| Admite la gran escala² | No | Sí | Sí | Sí |
| Descripción | Comportamiento predeterminado del desencadenador, que se basa en sondear el contenedor para obtener actualizaciones. Para más información, consulte los ejemplos de la referencia del desencadenador de Blob Storage. | Consume eventos de Blob Storage de una suscripción de eventos. Requiere un valor del parámetro Source de EventGrid. Para obtener más información, consulte Tutorial: Desencadenamiento de Azure Functions en contenedores de blobs mediante una suscripción de eventos. |
La cadena de nombre de blob se agrega manualmente a una cola de almacenamiento cuando se agrega un blob al contenedor. Un desencadenador de Queue Storage pasa este valor directamente a un enlace de entrada de Blob Storage en la misma función. | Proporciona la flexibilidad de desencadenar eventos, además de los procedentes de un contenedor de almacenamiento. Úselo cuando también necesite que los eventos que no son de almacenamiento desencadenen la función. Para obtener más información, consulte Cómo trabajar con desencadenadores y enlaces de Event Grid en Azure Functions. |
1 Los enlaces de entrada y salida de Blob Storage admiten cuentas de solo blob.
2 Gran escala se aplica generalmente a contenedores de más de 100 000 blobs o a cuentas de almacenamiento que tienen más de 100 actualizaciones de blobs por segundo.
Cifrado de datos de almacenamiento
Azure Storage cifra todos los datos de las cuentas de almacenamiento en reposo. Para más información, consulte Cifrado de Azure Storage para datos en reposo.
De manera predeterminada, los datos se cifran con claves administradas por Microsoft. Para tener un mayor control sobre las claves de cifrado, puede proporcionar claves administradas por el cliente que puede usar para el cifrado de datos de archivos y blobs. Estas claves deben estar presentes en Azure Key Vault para que Azure Functions pueda acceder a la cuenta de almacenamiento. Para más información, consulte Cifrado en reposo con claves administradas por el cliente.
Residencia de datos en la región
Cuando todos los datos del cliente deban permanecer dentro de una única región, la cuenta de almacenamiento asociada a la aplicación de funciones debe ser una que tenga redundancia en la región. También se debe usar una cuenta de almacenamiento con redundancia en la región con Azure Durable Functions.
Otros datos de clientes administrados por la plataforma solo se almacenan dentro de la región cuando se hospedan en una instancia de App Service Environment (ASE) con equilibrio de carga interno. Para más información, consulte Redundancia de zona de ASE.
Consideraciones sobre el id. de host
Functions usa un valor de id. de host como una manera de identificar de forma exclusiva una aplicación de funciones determinada en los artefactos almacenados. De manera predeterminada, este identificador se genera automáticamente a partir del nombre de la aplicación de funciones, truncado a los primeros 32 caracteres. A continuación, este identificador se usa al almacenar la información de seguimiento y correlación por aplicación en la cuenta de almacenamiento vinculada. Cuando tiene aplicaciones de funciones con nombres de más de 32 caracteres y cuando los primeros 32 caracteres son idénticos, este truncamiento puede dar lugar a valores de id. de host duplicados. Cuando dos aplicaciones de funciones con id. de host idénticos usan la misma cuenta de almacenamiento, se obtiene una colisión de id. de host porque los datos almacenados no se pueden vincular de forma única a la aplicación de funciones correcta.
Nota:
Esta misma colisión del id. de host puede producirse entre una aplicación de funciones en una ranura de producción y la misma aplicación de funciones en una ranura de ensayo cuando ambas ranuras usan la misma cuenta de almacenamiento.
A partir de la versión 3.x del runtime de Functions, se detecta la colisión del id. de host y se registra una advertencia. En la versión 4.x, se registra un error y se detiene el host, lo que da lugar a un error grave. Puede encontrar más detalles sobre la colisión de los id. de host en esta incidencia.
Evitar colisiones de los id. de host
Puede usar las siguientes estrategias para evitar colisiones de id. de host:
- Use una cuenta de almacenamiento separada para cada aplicación de funciones o ranura implicada en la colisión.
- Cambie el nombre de una de las aplicaciones de funciones a un valor con una longitud inferior a 32 caracteres, lo que cambia el Id. de host calculado de la aplicación y elimina la colisión.
- Establezca un identificador de host explícito para una o varias de las aplicaciones en colisión. Para más información, consulte Invalidación del id. de host.
Importante
Cambiar la cuenta de almacenamiento asociada a una aplicación de funciones existente o cambiar el id. de host de la aplicación puede afectar el comportamiento de las funciones existentes. Por ejemplo, un desencadenador de Blob Storage realiza un seguimiento de si se procesan blobs individuales escribiendo recibos en una ruta de acceso de identificador de host específica en el almacenamiento. Cuando el id. de host cambia o apunta a una nueva cuenta de almacenamiento, se pueden volver a procesar los blobs procesados anteriormente.
Invalidación del id. de host
Puede establecer explícitamente un id. de host específico para la aplicación de funciones en la configuración de la aplicación mediante la configuración AzureFunctionsWebHost__hostid. Para más información, consulte AzureFunctionsWebHost__hostid.
Cuando se produce la colisión entre ranuras, debe establecer un identificador de host específico para cada ranura, incluida la ranura de producción. También debe marcar esta configuración como configuración de implementación para que no se intercambie. Para obtener información sobre cómo crear la configuración de la aplicación, consulte Trabajar con la configuración de la aplicación.
Clústeres habilitados para Azure Arc
Cuando la aplicación de funciones se implementa en un clúster de Kubernetes habilitado para Azure Arc, es posible que la aplicación de funciones no requiera una cuenta de almacenamiento. En este caso, Functions solo requiere una cuenta de almacenamiento cuando la aplicación de funciones usa un desencadenador que requiere almacenamiento. En la siguiente tabla se indica qué desencadenadores pueden requerir una cuenta de almacenamiento y cuáles no.
| No se requiere | puede requerir almacenamiento |
|---|---|
| • Azure Cosmos DB • HTTP • Kafka • RabbitMQ • Service Bus |
• Azure SQL • Blob Storage • Event Grid • Event Hubs • IoT Hub • Queue Storage • SendGrid • SignalR • Table Storage • Temporizador • Twilio |
Para crear una aplicación de función en un clúster de Kubernetes habilitado para Azure Arc sin almacenamiento, debe usar el comando az functionapp create de la CLI de Azure. La versión de la CLI de Azure debe incluir la versión 0.1.7 o una versión posterior de la extensión appservice-kube. Use el comando az --version para comprobar que la extensión está instalada y es la versión correcta.
La creación de recursos de la aplicación de funciones mediante métodos distintos de la CLI de Azure requiere una cuenta de almacenamiento existente. Si tiene previsto usar los desencadenadores que requieran una cuenta de almacenamiento, debe crear la cuenta antes de crear la aplicación de funciones.
Creación de una aplicación sin Azure Files
Azure Files está configurado de forma predeterminada para planes Elastic Premium y Consumo para no Linux que sirvan como un sistema de archivos compartido en escenarios de gran escala. La plataforma usa el sistema de archivos para algunas características, como el streaming de registros, pero garantiza principalmente la coherencia de la carga útil de la función implementada. Cuando una aplicación está implementada mediante una dirección URL de paquete externo, el contenido de la aplicación se sirve desde un sistema de archivos de solo lectura independiente. Esto significa que puede crear la aplicación de funciones sin Azure Files. Si crea la aplicación de funciones con Azure Files, también se proporciona un sistema de archivos que se puede escribir. Sin embargo, es posible que este sistema de archivos no esté disponible para todas las instancias de la aplicación de funciones.
Cuando no se usa Azure Files, se debe cumplir con los siguientes requisitos:
- Debe realizar la implementación desde la dirección URL de un paquete externo.
- La aplicación no puede basarse en un sistema de archivos grabable compartido.
- La aplicación no puede usar la versión 1.x del tiempo de ejecución de Functions.
- Las experiencias de streaming de registros en clientes como Azure Portal tienen como valor predeterminado los registros del sistema de archivos. En su lugar, deben basarse en registros de Application Insights.
Si lo anterior se tiene en cuenta correctamente, puede crear la aplicación sin Azure Files. Cree la aplicación de función sin especificar la configuración de la aplicación WEBSITE_CONTENTAZUREFILECONNECTIONSTRING y WEBSITE_CONTENTSHARE. Se puede evitar esta configuración generando una plantilla de ARM para realizar una implementación estándar, quitando las dos configuraciones y, a continuación, implementando la plantilla.
Dado que Functions usa Azure Files durante algunas partes del proceso de escalado horizontal dinámico, el escalado podría verse limitado cuando se ejecuta sin Azure Files en los planes de consumo y Elastic Premium.
Montaje de recursos compartidos de archivos
Esta funcionalidad solo está disponible cuando se ejecuta en Linux.
Puede montar recursos compartidos de Azure Files existentes en las aplicaciones de funciones de Linux. Al montar un recurso compartido en la aplicación de funciones de Linux, se pueden aprovechar los modelos de aprendizaje automático existentes u otros datos en las funciones. Puede usar el siguiente comando para montar un recurso compartido existente en la aplicación de funciones de Linux.
az webapp config storage-account add
En este comando, share-name es el nombre del recurso compartido existente de Azure Files y custom-id puede ser cualquier cadena que defina de forma única el recurso compartido cuando se monta en la aplicación de funciones. Además, mount-path es la ruta de acceso desde la que se accede al recurso compartido en la aplicación de funciones. mount-path debe estar en el formato /dir-name y no puede comenzar con /home.
Para obtener un ejemplo completo, vea los scripts de Creación de una aplicación de funciones de Python y montaje de un recurso compartido de Azure Files.
Actualmente, solo se admite storage-type de AzureFiles. Solo puede montar cinco recursos compartidos en una aplicación de funciones determinada. El montaje de un recurso compartido de archivos puede aumentar el tiempo de arranque en frío en al menos 200-300 ms, o incluso más, si la cuenta de almacenamiento se encuentra en una región diferente.
El recurso compartido montado está disponible para el código de función en el valor mount-path especificado. Por ejemplo, cuando mount-path es /path/to/mount, puede acceder al directorio de destino mediante las API del sistema de archivos, como en el siguiente ejemplo de Python:
import os
...
files_in_share = os.listdir("/path/to/mount")
Pasos siguientes
Más información sobre las opciones de hospedaje de Azure Functions.