Déployer une application Python conteneurisée sur App Service

Dans cette partie de la série de tutoriels, vous allez apprendre à déployer une application web Python en conteneur sur Azure App Service Web App Service pour conteneurs. Ce service entièrement managé vous permet d’exécuter des applications conteneurisées sans avoir à gérer votre propre orchestrateur de conteneurs.

App Service simplifie le déploiement via des pipelines d’intégration/de déploiement continu (CI/CD) qui fonctionnent avec Docker Hub, Azure Container Registry, Azure Key Vault et d’autres outils DevOps. Ce tutoriel fait partie 4 d’une série de tutoriels en 5 parties.

À la fin de cet article, vous disposez d’une application web App Service sécurisée et prête pour la production exécutée à partir d’une image conteneur Docker. L’application utilise une identité managée affectée par le système pour extraire l’image d’Azure Container Registry et récupérer des secrets à partir d’Azure Key Vault.

Ce diagramme de service met en évidence les composants abordés dans cet article.

Azure CLI

Les commandes Azure CLI peuvent être exécutées dans Azure Cloud Shell ou sur un ordinateur local avec Azure CLI installé.

Importante

Nous vous recommandons d’utiliser Azure Cloud Shell pour toutes les étapes basées sur l’interface CLI de ce didacticiel, car elle :

• Est pré-authentifié avec votre compte Azure, ce qui évite les problèmes de connexion
• Inclut toutes les extensions Azure CLI requises prêtes à l’emploi
• Garantit un comportement cohérent, quel que soit votre système d’exploitation ou votre environnement local
• Nécessite aucune installation locale, idéale pour les utilisateurs sans droits d’administrateur
• Fournit un accès direct aux services Azure à partir du portail : aucune configuration locale de Docker ou de réseau n’est requise
• Évite les problèmes de configuration réseau ou de pare-feu local

Créer un coffre de clés avec l’autorisation RBAC

Azure Key Vault est un service sécurisé permettant de stocker des secrets, des clés API, des chaînes de connexion et des certificats. Dans ce script, il stocke la chaîne de connexion MongoDB et l’application SECRET_KEYweb.

Key Vault est configuré pour utiliser le contrôle d’accès en fonction du rôle (RBAC) pour gérer l’accès via des rôles Azure au lieu de stratégies d’accès traditionnelles. L’application web utilise son identité managée affectée par le système pour récupérer les secrets en toute sécurité au moment de l’exécution.

Remarque

La création anticipée du coffre de clés garantit que les rôles peuvent être attribués avant toute tentative d’accès aux secrets. Il permet également d’éviter les retards de propagation dans les attributions de rôles. Étant donné que Key Vault ne dépend pas d’App Service, le provisionnement précoce améliore la fiabilité et le séquencement.

1. Dans cette étape, vous utilisez la commande az keyvault create pour créer un coffre de clés Azure avec RBAC activé.

   Cogner

   #!/bin/bash
   RESOURCE_GROUP_NAME="msdocs-web-app-rg"
   LOCATION="westus"
   KEYVAULT_NAME="${RESOURCE_GROUP_NAME}-kv"
   
   az keyvault create \
     --name "$KEYVAULT_NAME" \
     --resource-group "$RESOURCE_GROUP_NAME" \
     --location "$LOCATION" \
     --enable-rbac-authorization true
   

   PowerShell

   # PowerShell syntax
   $RESOURCE_GROUP_NAME="msdocs-web-app-rg"
   $LOCATION="westus"
   $KEYVAULT_NAME="${RESOURCE_GROUP_NAME}-kv"
   
   az keyvault create `
     --name "$KEYVAULT_NAME" `
     --resource-group "$RESOURCE_GROUP_NAME" `
     --location "$LOCATION" `
     --enable-rbac-authorization true
   

Créer le plan App Service et l’application web

Le plan App Service définit les ressources de calcul, le niveau tarifaire et la région de votre application web. L’application web exécute votre application conteneurisée et est approvisionnée avec une identité managée affectée par le système utilisée pour s’authentifier en toute sécurité auprès d’Azure Container Registry (ACR) et d’Azure Key Vault.

Dans cette étape, vous effectuez les tâches suivantes :

• Créer un plan App Service
• Créer l’application web avec son identité managée
• Configurer l’application web à déployer à l’aide d’une image conteneur spécifique
• Préparer le déploiement continu via ACR

Remarque

L’application web doit être créée avant d’attribuer l’accès à ACR ou Key Vault, car l’identité managée est créée uniquement au moment du déploiement. En outre, l’attribution de l’image conteneur lors de la création garantit que l’application démarre correctement avec la configuration prévue.

1. Dans cette étape, vous utilisez la commande az appservice plan create pour provisionner l’environnement de calcul pour votre application.

   Cogner

   #!/bin/bash
   APP_SERVICE_PLAN_NAME="msdocs-web-app-plan"
   
   az appservice plan create \
       --name "$APP_SERVICE_PLAN_NAME" \
       --resource-group "$RESOURCE_GROUP_NAME" \
       --sku B1 \
       --is-linux
   

   PowerShell

   # PowerShell syntax
   $APP_SERVICE_PLAN_NAME="msdocs-web-app-plan"
   
   az appservice plan create `
       --name "$APP_SERVICE_PLAN_NAME" `
       --resource-group "$RESOURCE_GROUP_NAME" `
       --sku B1 `
       --is-linux
   

2. Dans cette étape, vous utilisez la commande az webapp create pour créer l’application web. Cette commande active également une identité managée affectée par le système et définit l’image conteneur exécutée par l’application.

   Cogner

   #!/bin/bash
   APP_SERVICE_NAME="msdocs-website-name" #APP_SERVICE_NAME must be globally unique as it becomes the website name in the URL `https://<website-name>.azurewebsites.net`.
   # Use the same registry name as in part 2 of this tutorial series.
   REGISTRY_NAME="msdocscontainerregistryname" #REGISTRY_NAME is the registry name you used in part 2 of this tutorial.
   CONTAINER_NAME="$REGISTRY_NAME.azurecr.io/msdocspythoncontainerwebapp:latest" #CONTAINER_NAME is of the form "yourregistryname.azurecr.io/repo_name:tag".
   
   az webapp create \
     --resource-group "$RESOURCE_GROUP_NAME" \
     --plan "$APP_SERVICE_PLAN_NAME" \
     --name "$APP_SERVICE_NAME" \
     --assign-identity '[system]' \
     --deployment-container-image-name "$CONTAINER_NAME" 
   

   PowerShell

   # Powershell syntax
   $APP_SERVICE_NAME="msdocs-website-name"
   # Use the same rregistry name as in part 2 of this tutorial series.
   $REGISTRY_NAME="msdocscontainerregistryname"
   $CONTAINER_NAME = "$REGISTRY_NAME.azurecr.io/msdocspythoncontainerwebapp:latest"
   
   az webapp create `
     --resource-group "$RESOURCE_GROUP_NAME" `
     --plan "$APP_SERVICE_PLAN_NAME" `
     --name "$APP_SERVICE_NAME" `
     --assign-identity '[system]' `
     --deployment-container-image-name "$CONTAINER_NAME" 
   

   Remarque

   Lors de l’exécution de cette commande, l’erreur suivante peut s’afficher :

   No credential was provided to access Azure Container Registry. Trying to look up...
   Retrieving credentials failed with an exception:'Failed to retrieve container registry credentials. Please either provide the credentials or run 'az acr update -n msdocscontainerregistryname --admin-enabled true' to enable admin first.'
   

   Cette erreur se produit parce que l’application web tente d’utiliser les informations d’identification d’administrateur pour accéder à ACR, les informations d’identification désactivées par défaut. Il est sûr d’ignorer ce message : l’étape suivante configure l’application web pour utiliser son identité managée pour s’authentifier auprès d’ACR.

Accorder le rôle Agent secrets à l’utilisateur connecté

Pour stocker des secrets dans Azure Key Vault, l’utilisateur exécutant le script doit avoir le rôle Agent des secrets Key Vault . Ce rôle permet de créer et de gérer des secrets dans le coffre.

Dans cette étape, le script affecte ce rôle à l’utilisateur actuellement connecté. Cet utilisateur peut ensuite stocker en toute sécurité les secrets d’application, tels que la chaîne de connexion MongoDB et l’application SECRET_KEY.

Cette attribution de rôle est la première de deux attributions de rôles liées à Key Vault. Plus tard, l’identité managée affectée par le système de l’application web est autorisée à récupérer des secrets à partir du coffre.

L’utilisation d’Azure RBAC garantit un accès sécurisé et auditable en fonction de l’identité, ce qui élimine la nécessité d’informations d’identification codées en dur.

Remarque

L’utilisateur doit être affecté au rôle Agent des secrets Key Vaultavant de tenter de stocker des secrets dans le coffre de clés. Cette attribution est effectuée à l’aide de la commande az role assignment create appliquée au coffre de clés.

1. Dans cette étape, vous utilisez la commande az role assignment create pour affecter le rôle dans l’étendue Key Vault.

   Cogner

   #!/bin/bash
   CALLER_ID=$(az ad signed-in-user show --query id -o tsv)
   echo $CALLER_ID # Verify this value retrieved successfully. In production, poll to verify this value is retrieved successfully.
   
   az role assignment create \
     --role "Key Vault Secrets Officer" \
     --assignee "$CALLER_ID" \
     --scope "/subscriptions/$(az account show --query id -o tsv)/resourceGroups/$RESOURCE_GROUP_NAME/providers/Microsoft.KeyVault/vaults/$KEYVAULT_NAME"
   
   

   PowerShell

   # PowerShell syntax
   $CALLER_ID=$(az ad signed-in-user show --query id -o tsv)
   echo $CALLER_ID # Verify this value retrieved successfully. In production, poll to verify this value is retrieved successfully.
   
   az role assignment create `
     --role "Key Vault Secrets Officer" `
     --assignee "$CALLER_ID" `
     --scope "/subscriptions/$(az account show --query id -o tsv)/resourceGroups/$RESOURCE_GROUP_NAME/providers/Microsoft.KeyVault/vaults/$KEYVAULT_NAME"
   

Accorder un accès web à ACR à l’aide d’une identité managée

Pour extraire des images d’Azure Container Registry (ACR) en toute sécurité, l’application web doit être configurée pour utiliser son identité managée affectée par le système. L’utilisation de l’identité managée évite la nécessité d’informations d’identification d’administrateur et prend en charge le déploiement sécurisé et sans informations d’identification.

Ce processus implique deux actions clés :

• Activation de l’application web pour utiliser son identité managée lors de l’accès à ACR
• Affectation du rôle AcrPull à cette identité sur l’ACR cible

1. Dans cette étape, vous récupérez l’ID principal (ID d’objet unique) de l’identité managée de l’application web à l’aide de la commande az webapp identity show . Ensuite, vous activez l’utilisation de l’identité managée pour l’authentification ACR en définissant la propriété acrUseManagedIdentityCreds sur true en utilisant `az webapp config set`. Vous affectez ensuite le rôle AcrPull à l’identité managée de l’application web à l’aide de la commande az role assignment create . Ce rôle accorde à l’application web l’autorisation d’extraire des images du Registre.

   Cogner

   #!/bin/bash
   PRINCIPAL_ID=$(az webapp identity show \
     --name "$APP_SERVICE_NAME" \
     --resource-group "$RESOURCE_GROUP_NAME" \
     --query principalId \
     -o tsv)
   echo $PRINCIPAL_ID # Verify this value retrieved successfully. In production, poll for successful 'AcrPull' role assignment using `az role assignment list`.    
   
   az webapp config set \
     --resource-group "$RESOURCE_GROUP_NAME" \
     --name "$APP_SERVICE_NAME" \
     --generic-configurations '{"acrUseManagedIdentityCreds": true}'
   
   az role assignment create \
   --role "AcrPull" \
   --assignee "$PRINCIPAL_ID" \
   --scope "/subscriptions/$(az account show --query id -o tsv)/resourceGroups/$RESOURCE_GROUP_NAME/providers/Microsoft.ContainerRegistry/registries/$REGISTRY_NAME"
   
   

   PowerShell

   # PowerShell syntax
   $PRINCIPAL_ID=$(az webapp identity show `
     --name "$APP_SERVICE_NAME" `
     --resource-group "$RESOURCE_GROUP_NAME" `
     --query principalId `
     -o tsv)
   echo $PRINCIPAL_ID # Verify this value retrieved successfully. In production, poll for successful AcrPull role assignment using `az role assignment list`.    
   
   az webapp config set `
     --resource-group "$RESOURCE_GROUP_NAME" `
     --name "$APP_SERVICE_NAME" `
     --generic-configurations '{ "acrUseManagedIdentityCreds": true }'
   
   az role assignment create `
     --role "AcrPull" `
     --assignee "$PRINCIPAL_ID" `
     --scope "/subscriptions/$(az account show --query id -o tsv)/resourceGroups/$RESOURCE_GROUP_NAME/providers/Microsoft.ContainerRegistry/registries/$REGISTRY_NAME"
   

Accorder l’accès au coffre de clés à l’identité managée de l’application web

L’application web a besoin de l’autorisation d’accéder aux secrets comme la chaîne de connexion MongoDB et le SECRET_KEY. Pour accorder ces autorisations, vous devez attribuer le rôle Utilisateur des secrets Key Vault à l’identité managée affectée par le système de l’application web.

1. Dans cette étape, vous utilisez l’identificateur unique (ID principal) de l’identité managée affectée par le système de l’application web pour accorder à l’application web l’accès au coffre de clés avec le rôle Utilisateur secrets Key Vault à l’aide de la commande az role assignment create .

   Cogner

   #!/bin/bash
   
   az role assignment create \
   --role "Key Vault Secrets User" \
   --assignee "$PRINCIPAL_ID" \
   --scope "/subscriptions/$(az account show --query id -o tsv)/resourceGroups/$RESOURCE_GROUP_NAME/providers/Microsoft.KeyVault/vaults/$KEYVAULT_NAME"
   

   PowerShell

   # PowerShell syntax
   
     az role assignment create `
     --role "Key Vault Secrets User" `
     --assignee "$PRINCIPAL_ID"`
     --scope "/subscriptions/$(az account show --query id -o tsv)/resourceGroups/$RESOURCE_GROUP_NAME/providers/Microsoft.KeyVault/vaults/$KEYVAULT_NAME"
   
   

Stocker des secrets dans Key Vault

Pour éviter le codage en dur des secrets dans votre application, cette étape stocke la chaîne de connexion MongoDB et la clé secrète de l’application web dans Azure Key Vault. Ces secrets peuvent ensuite être accessibles en toute sécurité par l’application web au moment de l’exécution via son identité managée, sans avoir à stocker les informations d’identification dans le code ou la configuration.

Remarque

Bien que ce didacticiel stocke uniquement la chaîne de connexion et la clé secrète dans le coffre de clés, vous pouvez également stocker d’autres paramètres d’application tels que le nom de la base de données MongoDB ou le nom de collection dans Key Vault.

1. Dans cette étape, vous utilisez la commande az cosmosdb keys list pour récupérer la chaîne de connexion MongoDB. Vous utilisez ensuite la commande az keyvault secret set pour stocker à la fois la chaîne de connexion et une clé secrète générée de manière aléatoire dans Key Vault.

   Cogner

   #!/bin/bash
   ACCOUNT_NAME="msdocs-cosmos-db-account-name"
   
   MONGO_CONNECTION_STRING=$(az cosmosdb keys list \
     --name "$ACCOUNT_NAME" \
     --resource-group "$RESOURCE_GROUP_NAME" \
     --type connection-strings \
     --query "connectionStrings[?description=='Primary MongoDB Connection String'].connectionString" -o tsv)
   
   SECRET_KEY=$(openssl rand -base64 32 | tr -dc 'a-zA-Z0-9')
   # This key is cryptographically secure, using OpenSSL’s strong random number generator.
   
   az keyvault secret set \
     --vault-name "$KEYVAULT_NAME" \
     --name "MongoConnectionString" \
     --value "$MONGO_CONNECTION_STRING"
   
   az keyvault secret set \
     --vault-name "$KEYVAULT_NAME" \
     --name "MongoSecretKey" \
     --value "$SECRET_KEY"
   

   PowerShell

   # PowerShell syntax
   $ACCOUNT_NAME="msdocs-cosmos-db-account-name"
   
   $MONGO_CONNECTION_STRING = az cosmosdb keys list `
     --name $ACCOUNT_NAME `
     --resource-group $RESOURCE_GROUP_NAME `
     --type connection-strings `
     --query "connectionStrings[?description=='Primary MongoDB Connection String'].connectionString" `
     -o tsv
   
   # Generate a 32-byte cryptographically secure random value
   $bytes = New-Object 'Byte[]' 32
   [System.Security.Cryptography.RandomNumberGenerator]::Create().GetBytes($bytes)
   
   # Convert to base64 and filter to alphanumeric characters only
   $base64 = [Convert]::ToBase64String($bytes)
   $alphanumeric = $base64 -replace '[^a-zA-Z0-9]', ''
   
   # Truncate to 50 characters
   $SECRET_KEY = $alphanumeric.Substring(0, [Math]::Min(50, $alphanumeric.Length))
   
   az keyvault secret set `
     --vault-name "$KEYVAULT_NAME" `
     --name "MongoConnectionString" `
     --value "$MONGO_CONNECTION_STRING"
   
   az keyvault secret set `
     --vault-name "$KEYVAULT_NAME" `
     --name "MongoSecretKey" `
     --value "$SECRET_KEY"
   

Configurer l’application web pour utiliser les secrets Kay Vault

Pour accéder en toute sécurité aux secrets au moment de l’exécution, l’application web doit être configurée pour référencer les secrets stockés dans Azure Key Vault. Cette étape s’effectue à l’aide de références Key Vault, qui injectent les valeurs secrètes dans l’environnement de l’application via son identité managée affectée par le système.

Cette approche évite les secrets de codage en dur et permet à l’application de récupérer en toute sécurité des valeurs sensibles telles que la chaîne de connexion MongoDB et la clé secrète pendant l’exécution.

1. Dans cette étape, vous utilisez la commande az webapp config appsettings set pour ajouter des paramètres d’application qui référencent les secrets Key Vault. Plus précisément, cela définit les paramètres d'application MongoConnectionString et MongoSecretKey pour référencer les secrets correspondants stockés dans Key Vault.

   Cogner

   #!/bin/bash
   MONGODB_NAME="restaurants_reviews"
   MONGODB_COLLECTION_NAME="restaurants_reviews"
   
   az webapp config appsettings set \
     --resource-group "$RESOURCE_GROUP_NAME" \
     --name "$APP_SERVICE_NAME" \
     --settings \
         CONNECTION_STRING="@Microsoft.KeyVault(SecretUri=https://$KEYVAULT_NAME.vault.azure.net/secrets/MongoConnectionString)" \
         SECRET_KEY="@Microsoft.KeyVault(SecretUri=https://$KEYVAULT_NAME.vault.azure.net/secrets/MongoSecretKey)" \
         DB_NAME="$MONGODB_NAME" \
         COLLECTION_NAME="$MONGODB_COLLECTION_NAME"
   

   PowerShell

   # PowerShell syntax
   $MONGO_DB_NAME="restaurants_reviews"
   $MONGO_COLLECTION_NAME="restaurants_reviews"
   
   az webapp config appsettings set `
     --resource-group $RESOURCE_GROUP_NAME `
     --name $APP_SERVICE_NAME `
     --settings `
       CONNECTION_STRING="@Microsoft.KeyVault(SecretUri=https://$KEYVAULT_NAME.vault.azure.net/secrets/MongoConnectionString)" `
       SECRET_KEY="@Microsoft.KeyVault(SecretUri=https://$KEYVAULT_NAME.vault.azure.net/secrets/MongoSecretKey)" `
       DB_NAME=$MONGODB_NAME `
       COLLECTION_NAME=$MONGODB_COLLECTION_NAME
   

Activer le déploiement continu à partir d’ACR

L’activation du déploiement continu permet à l’application web d’extraire et d’exécuter automatiquement la dernière image conteneur chaque fois qu’elle est envoyée à Azure Container Registry (ACR). Cela réduit les étapes de déploiement manuel et permet de garantir que votre application reste à jour.

Remarque

À l’étape suivante, vous allez inscrire un webhook dans ACR pour notifier l’application web lorsqu’une nouvelle image est envoyée(s).

1. Dans cette étape, vous utilisez la commande az webapp deployment container config pour activer le déploiement continu d’ACR vers l’application web.

   Cogner

   #!/bin/bash
   az webapp deployment container config \
     --name "$APP_SERVICE_NAME" \
     --resource-group "$RESOURCE_GROUP_NAME" \
     --enable-cd true
   

   PowerShell

   # PowerShell syntax
   az webapp deployment container config `
     --name "$APP_SERVICE_NAME" `
     --resource-group "$RESOURCE_GROUP_NAME" `
     --enable-cd true
   

Inscrire un webhook ACR pour le déploiement continu

Pour automatiser les déploiements, inscrivez un webhook dans Azure Container Registry (ACR) qui avertit l’application web chaque fois qu’une nouvelle image conteneur est envoyée (push). Le webhook permet à l’application d’extraire et d’exécuter automatiquement la dernière version.

Le webhook configuré dans Azure Container Registry (ACR) envoie une requête POST au point de terminaison SCM de l’application web (SERVICE_URI) chaque fois qu’une nouvelle image est envoyée au dépôt msdocspythoncontainerwebapp. Cette action déclenche l’application web pour extraire et déployer l’image mise à jour, en effectuant le pipeline de déploiement continu entre ACR et Azure App Service.

Remarque

L’URI du webhook doit suivre ce format :
https://<app-name>.scm.azurewebsites.net/api/registry/webhook

Il doit se terminer par /api/registry/webhook. Si vous recevez une erreur d’URI, vérifiez que le chemin d’accès est correct.

1. Dans cette étape, utilisez la commande az acr webhook create pour inscrire le webhook et le configurer pour qu’il se déclenche sur push des événements.

   Cogner

   #!/bin/bash
   CREDENTIAL=$(az webapp deployment list-publishing-credentials \
       --resource-group "$RESOURCE_GROUP_NAME" \
       --name "$APP_SERVICE_NAME" \
       --query publishingPassword --output tsv)
   # Web app publishing credentials may not be available immediately. In production, poll until non-empty.   
   
   SERVICE_URI="https://$APP_SERVICE_NAME:$CREDENTIAL@$APP_SERVICE_NAME.scm.azurewebsites.net/api/registry/webhook"
   
   az acr webhook create \
     --name webhookforwebapp \
     --registry "$REGISTRY_NAME" \
     --scope msdocspythoncontainerwebapp:* \
     --uri "$SERVICE_URI" \
     --actions push
   
   

   PowerShell

   # PowerShell syntax
   $CREDENTIAL=$(az webapp deployment list-publishing-credentials `
     --resource-group "$RESOURCE_GROUP_NAME" `
     --name "$APP_SERVICE_NAME" `
     --query publishingPassword --output tsv)
   
   # Web app publishing credentials may not be available immediately. In production, poll until non-empty.   
   
   $SERVICE_URI = "https://$APP_SERVICE_NAME`:$CREDENTIAL@$APP_SERVICE_NAME.scm.azurewebsites.net/api/registry/webhook"
   
   az acr webhook create `
     --name webhookforwebapp `
     --registry "$REGISTRY_NAME" `
     --scope msdocspythoncontainerwebapp:* `
     --uri "$SERVICE_URI" `
     --actions push
   

Parcourir le site

Pour vérifier que l’application web est en cours d’exécution, ouvrez https://<website-name>.azurewebsites.net, en remplaçant <website-name> par le nom de votre App Service. Vous devriez voir l’exemple d’application de révision de restaurant. Il peut prendre quelques instants pour charger la première fois.

Une fois le site affiché, essayez d’ajouter un restaurant et de soumettre une révision pour confirmer que l’application fonctionne correctement.

Remarque

La commande az webapp browse n’est pas prise en charge dans Cloud Shell. Si vous utilisez Cloud Shell, ouvrez manuellement un navigateur et accédez à l’URL du site.

Si vous utilisez Azure CLI localement, vous pouvez utiliser la commande az webapp browse pour ouvrir le site dans votre navigateur par défaut :

az webapp browse --name $APP_SERVICE_NAME --resource-group $RESOURCE_GROUP_NAME

Remarque

La commande az webapp browse n’est pas prise en charge dans Cloud Shell. Ouvrez une fenêtre de navigateur et accédez à l’URL du site web à la place.

VS Code

Vous pouvez utiliser l’extension Docker dans Visual Studio Code pour générer et déployer votre application web conteneurisée sur Azure App Service. Cette extension simplifie le processus d’empaquetage de votre application et l’envoie (push) vers le cloud. Une fois déployé, utilisez l’extension Azure Tools pour configurer les paramètres de l’application web, y compris la chaîne de connexion MongoDB et une clé secrète pour l’application.

Initialement, configurez et testez l’application à l’aide de valeurs codées en dur pour vous assurer qu’elle démarre correctement la connexion à la base de données MongoDB. Après avoir vérifié que l’application fonctionne, utilisez Azure CLI (localement ou dans Cloud Shell) pour créer un coffre de clés Azure. Ensuite, accordez à l’utilisateur la création de l’application dans VS Code pour stocker des informations sensibles, puis stockez la chaîne de connexion MongoDB et la clé secrète de l’application en tant que secrets Key Vault.

Enfin, dans Visual Studio Code, mettez à jour les paramètres d’application de l’application web pour référencer les secrets stockés dans Key Vault. L’application peut désormais accéder en toute sécurité aux valeurs de configuration sans les incorporer directement dans le code.

Créer l’application web

Ces étapes nécessitent l’installation de l’extension Docker pour VS Code.

1. Actualisez Azure Container Registry dans l’extension Docker pour vérifier que le conteneur que vous avez généré apparaît sous la section REGISTRYS de l’extension Docker. Si ce n’est pas le cas, cliquez avec le bouton droit sur le nom du Registre et sélectionnez Actualiser.

   

2. Sélectionnez F1 ou Ctrl+Maj+P pour ouvrir la palette de commandes, tapez « Registres Docker », puis sélectionnez la tâche Registres Docker : Déployer une image dans Azure App Service... tâche.

3. Entrez les valeurs suivantes lorsque cela vous est demandé pour déployer l'image.

   • Sélectionner un fournisseur de registre : Azure
   • Abonnement : sélectionnez l’abonnement qui contient azure Container Registry que vous avez créé précédemment.
   • Sélectionnez Registre : entrez le nom du registre que vous avez créé précédemment dans ce tutoriel.
   • Sélectionnez référentiel : entrez le nom du référentiel msdocscontainerregistryname. Si vous ne voyez pas ce référentiel, actualisez la section REGISTRIES de l’extension Docker.
   • Sélectionnez la balise : la plus récente pour la balise d’image.
   • Entrez un nom global unique pour l’application web : entrez un nom globalement unique pour Azure App Service. Par exemple, si vous utilisez msdocs-website-name, l’URL de l’application web est http://msdocs-website-name.azurewebsites.net.
   • Sélectionnez un groupe de ressources : utilisez le groupe de ressources qui contient azure Container Registry que vous avez créé précédemment.
   • Sélectionnez un plan App Service Linux : utilisez un plan existant ou créez-en un.

4. Affichez la fenêtre OUTPUT pour plus d’informations sur le déploiement. L’une des lignes de sortie est « Octroi de l’autorisation pour App Service d’extraire l’image d’ACR... », auquel App Service accède au registre à l’aide de l’identité managée.

   

   Le site final https://<app-name>.azurewebsites.net n’est pas encore prêt, car vous devez spécifier les informations MongoDB.

   Remarque

   Lorsque vous déployez avec Visual Studio Code, l’identité managée est déjà définie pour que App Service extraye des images à partir du Registre. Vous pouvez confirmer que l’identité managée est activée en consultant les journaux d’activité dans la fenêtre OUTPUT et en recherchant le message « Octroi de l’autorisation pour App Service d’extraire l’image à partir d’ACR... ».

Configurer l’identité managée et le webhook

Pendant le déploiement avec VS Code, un webhook est créé qui permet à l’application web d’extraire de nouvelles images à partir d’Azure Container Registry.

1. Passez en revue la configuration des webhooks dans le portail Azure pour confirmer que l’URI du service se termine par « /api/registry/webhook ». Pour passer en revue l’URI du service, ouvrez l’extension Docker dans VS Code et recherchez le registre que vous avez créé. Cliquez avec le bouton droit sur le Registre et sélectionnez Ouvrir dans le portail. Le registre de conteneurs s’ouvre dans le portail Azure. Cliquez sur Services , puis sur Webhooks. Ouvrez le menu contextuel, puis cliquez sur Configurer.

   

2. Vérifiez que l’URI du service se termine par « /api/registry/webhook ». Si ce n’est pas le cas, ajoutez-le à la fin de la chaîne, puis cliquez sur Enregistrer

Configurer la connexion à MongoDB à l’aide de valeurs codées en dur

Dans cette étape, vous spécifiez les variables d’environnement nécessaires pour que l’application web se connecte à MongoDB.

Remarque

Pour configurer des variables d’environnement pour l’application web à partir de VS Code, vous devez disposer du pack d’extension Azure Tools installé et connecté à Azure à partir de VS Code.

1. Dans la vue Azure dans VS Code (à partir de l’extension Azure Tools) :

   1. Développez RESOURCES et trouvez App Services sous votre abonnement. (Assurez-vous que vous affichez les ressources selon Regrouper par type de ressources).

   2. Développez App Services et recherchez l’application web que vous avez créée.

   3. Développez votre application web et cliquez avec le bouton droit sur Paramètres de l’application.

   4. Sélectionnez Ajouter un nouveau paramètre....

   

2. Chaque fois que vous ajoutez un nouveau paramètre, une boîte de dialogue apparaît en haut de la fenêtre VS Code, où vous pouvez ajouter le nom du paramètre suivi de sa valeur. Ajoutez les paramètres suivants :

   • CONNECTION_STRING : chaîne de connexion MongoDB. Plus loin dans ce tutoriel, vous définissez cette valeur sur la chaîne de connexion que vous stockez dans Azure Key Vault.
   • DB_NAME : restaurants_reviews
   • COLLECTION_NAME : restaurants_reviews
   • WEBSITES_PORT : 8000 pour Django et 5000 pour Flask. Cette variable d’environnement spécifie le port sur lequel le conteneur écoute.
   • SECRET_KEY : supersecretkeythatispassedtopythonapp. Cette clé secrète est une chaîne aléatoire utilisée par Django et Flask pour chiffrer les données de session. Plus loin dans ce tutoriel, vous définissez cette valeur sur la chaîne aléatoire que vous stockez dans Azure Key Vault.

Parcourir le site à l’aide de valeurs codées en dur

Dans la vue Azure dans VS Code (à partir de l’extension Azure Tools) :

1. Développez RESOURCES et trouvez App Services sous votre abonnement. (Assurez-vous que vous affichez les ressources selon Regrouper par type de ressources).

2. Cliquez avec le bouton droit sur votre application web, puis sélectionnez Parcourir le site web. Si votre site web affiche une erreur, patientez quelques minutes et réessayez. La démarrage de l’application web peut prendre quelques minutes. Consultez également Résolution des problèmes d’App Service.

Créer un coffre de clés avec l’autorisation RBAC

Dans cette étape, vous créez un coffre de clés Azure pour stocker la chaîne de connexion MongoDB et l’application SECRET_KEYweb. Azure Key Vault est un service sécurisé permettant de stocker des secrets, des clés API, des chaînes de connexion et des certificats. Key Vault est configuré pour utiliser le contrôle d’accès en fonction du rôle (RBAC) pour gérer l’accès via des rôles Azure au lieu de stratégies d’accès traditionnelles. L’application web utilise son identité managée affectée par le système pour récupérer les secrets en toute sécurité au moment de l’exécution.

Remarque

Vous pouvez configurer VS Code pour utiliser Azure CLI ou PowerShell. Pour sélectionner votre interpréteur de commandes par défaut dans VS Code, sélectionnez F1 ou Ctrl+Maj+P pour ouvrir la palette de commandes. Tapez ensuite Terminal : sélectionnez Profil par défaut. Dans la palette de commandes, tapez et sélectionnez : Terminal : Sélectionnez Profil par défaut , puis sélectionnez votre interpréteur de commandes par défaut souhaité.

1. Exécutez la commande Azure CLI suivante pour créer un coffre de clés. Cette commande utilise bash ou PowerShell pour créer un coffre de clés avec l’autorisation RBAC activée.

   Cogner

   #!/bin/bash
   RESOURCE_GROUP_NAME="msdocs-web-app-rg"
   LOCATION="westus"
   KEYVAULT_NAME="${RESOURCE_GROUP_NAME}-kv"
   
   az keyvault create \
     --name "$KEYVAULT_NAME" \
     --resource-group "$RESOURCE_GROUP_NAME" \
     --location "$LOCATION" \
     --enable-rbac-authorization true
   

   PowerShell

   # PowerShell syntax
   $RESOURCE_GROUP_NAME="msdocs-web-app-rg"
   $LOCATION="westus"
   $KEYVAULT_NAME="${RESOURCE_GROUP_NAME}-kv"
   
   az keyvault create `
     --name "$KEYVAULT_NAME" `
     --resource-group "$RESOURCE_GROUP_NAME" `
     --location "$LOCATION" `
     --enable-rbac-authorization true
   

Accorder le rôle Agent des secrets à l’utilisateur connecté

Pour stocker des secrets dans Azure Key Vault, l’utilisateur qui exécute le script doit disposer du rôle Agent des secrets Key Vault . Ce rôle permet à l’utilisateur de créer et de gérer des secrets dans le coffre.

Dans cette étape, le script affecte ce rôle à l’utilisateur actuellement connecté, ce qui lui permet de stocker en toute sécurité les données d’application sensibles telles que la chaîne de connexion MongoDB et les SECRET_KEY de l’application.

À l’aide d’Azure Role-Based Access Control (RBAC), cette approche garantit un accès sécurisé et auditable au coffre de clés en fonction de l’identité, ce qui évite d’incorporer des informations d’identification directement dans du code ou des fichiers de configuration.

Remarque

L’utilisateur doit être affecté au rôle Agent des secrets Key Vaultavant de tenter de stocker des secrets dans le coffre de clés. Cette attribution est effectuée à l’aide de la commande az role assignment create appliquée au coffre de clés.

1. Dans cette étape, vous utilisez la commande az role assignment create pour affecter le rôle dans l’étendue Key Vault.

   Cogner

   #!/bin/bash
   CALLER_ID=$(az ad signed-in-user show --query id -o tsv)
   echo $CALLER_ID # Verify this value retrieved successfully. In production, poll to verify this value is retrieved successfully.
   
   az role assignment create \
     --role "Key Vault Secrets Officer" \
     --assignee "$CALLER_ID" \
     --scope "/subscriptions/$(az account show --query id -o tsv)/resourceGroups/$RESOURCE_GROUP_NAME/providers/Microsoft.KeyVault/vaults/$KEYVAULT_NAME"
   
   

   PowerShell

   # PowerShell syntax
   $CALLER_ID=$(az ad signed-in-user show --query id -o tsv)
   echo $CALLER_ID # Verify this value retrieved successfully. In production, poll to verify this value is retrieved successfully.
   
   az role assignment create `
     --role "Key Vault Secrets Officer" `
     --assignee "$CALLER_ID" `
     --scope "/subscriptions/$(az account show --query id -o tsv)/resourceGroups/$RESOURCE_GROUP_NAME/providers/Microsoft.KeyVault/vaults/$KEYVAULT_NAME"
   

Stocker des secrets dans Key Vault

Pour éviter le codage en dur des secrets dans votre application, dans cette étape, vous stockez la chaîne de connexion MongoDB à l’instance MongoDB et la clé secrète de l’application web dans Azure Key Vault. Ces secrets peuvent ensuite être accessibles en toute sécurité par l’application web au moment de l’exécution via son identité managée, sans avoir à stocker les informations d’identification dans le code ou la configuration.

Remarque

Bien que ce didacticiel stocke uniquement la chaîne de connexion et la clé secrète dans le coffre de clés, vous pouvez également stocker d’autres paramètres d’application tels que le nom de la base de données MongoDB ou le nom de collection dans Key Vault.

1. Dans cette étape, vous utilisez la commande az cosmosdb keys list pour récupérer la chaîne de connexion MongoDB. Vous utilisez ensuite la commande az keyvault secret set pour stocker à la fois la chaîne de connexion et une clé secrète générée de manière aléatoire dans Key Vault.

   Cogner

   #!/bin/bash
   ACCOUNT_NAME="msdocs-cosmos-db-account-name"
   
   MONGO_CONNECTION_STRING=$(az cosmosdb keys list \
     --name "$ACCOUNT_NAME" \
     --resource-group "$RESOURCE_GROUP_NAME" \
     --type connection-strings \
     --query "connectionStrings[?description=='Primary MongoDB Connection String'].connectionString" -o tsv)
   
   SECRET_KEY=$(openssl rand -base64 32 | tr -dc 'a-zA-Z0-9')
   # This key is cryptographically secure, using OpenSSL’s strong random number generator.
   
   az keyvault secret set \
     --vault-name "$KEYVAULT_NAME" \
     --name "MongoConnectionString" \
     --value "$MONGO_CONNECTION_STRING"
   
   az keyvault secret set \
     --vault-name "$KEYVAULT_NAME" \
     --name "MongoSecretKey" \
     --value "$SECRET_KEY"
   

   PowerShell

   # PowerShell syntax
   $ACCOUNT_NAME="msdocs-cosmos-db-account-name"
   
   $MONGO_CONNECTION_STRING = az cosmosdb keys list `
     --name $ACCOUNT_NAME `
     --resource-group $RESOURCE_GROUP_NAME `
     --type connection-strings `
     --query "connectionStrings[?description=='Primary MongoDB Connection String'].connectionString" `
     -o tsv
   
   # Generate a 32-byte cryptographically secure random value
   $bytes = New-Object 'Byte[]' 32
   [System.Security.Cryptography.RandomNumberGenerator]::Create().GetBytes($bytes)
   
   # Convert to base64 and filter to alphanumeric characters only
   $base64 = [Convert]::ToBase64String($bytes)
   $alphanumeric = $base64 -replace '[^a-zA-Z0-9]', ''
   
   # Truncate to 50 characters
   $SECRET_KEY = $alphanumeric.Substring(0, [Math]::Min(50, $alphanumeric.Length))
   
   az keyvault secret set `
     --vault-name "$KEYVAULT_NAME" `
     --name "MongoConnectionString" `
     --value "$MONGO_CONNECTION_STRING"
   
   az keyvault secret set `
     --vault-name "$KEYVAULT_NAME" `
     --name "MongoSecretKey" `
     --value "$SECRET_KEY"
   

Accorder l’accès au coffre de clés à l’identité managée de l’application web

L’application web doit avoir l’autorisation d’accéder à la chaîne de connexion MongoDB et à celle SECRET_KEY que vous avez stockée dans le coffre de clés. Pour accorder ces autorisations, vous affectez le rôle Utilisateur des secrets Key Vault à l’identité managée affectée par le système de l’application web.

1. Dans cette étape, vous utilisez l’identificateur unique (ID principal) de l’identité managée affectée par le système de l’application web pour accorder à l’application web l’accès au coffre de clés avec le rôle Utilisateur secrets Key Vault à l’aide de la commande az role assignment create .

   Cogner

   #!/bin/bash
     APP_SERVICE_NAME="msdocs-website-name"
     PRINCIPAL_ID=$(az webapp identity show \
       --name "$APP_SERVICE_NAME" \
       --resource-group "$RESOURCE_GROUP_NAME" \
       --query principalId \
       -o tsv)
   echo $PRINCIPAL_ID # Verify this value retrieved successfully. In production, poll for successful 'AcrPull' role assignment using `az role assignment list`.    
   
   az role assignment create \
   --role "Key Vault Secrets User" \
   --assignee "$PRINCIPAL_ID" \
   --scope "/subscriptions/$(az account show --query id -o tsv)/resourceGroups/$RESOURCE_GROUP_NAME/providers/Microsoft.KeyVault/vaults/$KEYVAULT_NAME"
   

   PowerShell

   # PowerShell syntax
       $PRINCIPAL_ID=$(az webapp identity show `
     --name "$APP_SERVICE_NAME" `
     --resource-group "$RESOURCE_GROUP_NAME" `
     --query principalId `
     -o tsv)
   echo $PRINCIPAL_ID # Verify this value retrieved successfully. In production, poll for successful AcrPull role assignment using `az role assignment list`.    
   
   
   az role assignment create `
   --role "Key Vault Secrets User" `
   --assignee "$PRINCIPAL_ID"`
   --scope "/subscriptions/$(az account show --query id -o tsv)/resourceGroups/$RESOURCE_GROUP_NAME/providers/Microsoft.KeyVault/vaults/$KEYVAULT_NAME"
       ```
   
   ---
   
   

Configurer la connexion à MongoDB à l’aide de secrets Key Vault

Dans cette étape, vous mettez à jour les variables d’environnement nécessaires pour vous connecter à MongoDB afin d’utiliser les valeurs stockées dans le coffre de clés.

1. Dans la vue Azure dans VS Code (à partir de l’extension Azure Tools) :

   1. Développez RESOURCES et trouvez App Services sous votre abonnement. (Assurez-vous que vous affichez les ressources selon Regrouper par type de ressources).

   2. Développez App Services, développez votre application web, puis développez Paramètres de l’application.

   3. Modifiez les paramètres suivants :

   • CONNECTION_STRING : @Microsoft.KeyVault(SecretUri=https://msdocs-web-app-rg-kv.vault.azure.net/secrets/MongoConnectionString)
   • SECRET_KEY : @Microsoft.KeyVault(SecretUri=https://$KEYVAULT_NAME.vault.azure.net/secrets/MongoSecretKey)

   Remarque

   Pour vérifier que les paramètres de l’application sont correctement définis, vous pouvez utiliser la commande az webapp config appsettings list pour répertorier les paramètres de l’application web. La forme de la commande est : az webapp config appsettings list --/<resource-group msdocs-web-app-rg/> --name /<website-name/>. Cette commande répertorie tous les paramètres d’application pour l’application web, y compris ceux que vous venez de définir.

Parcourir le site à l’aide des secrets de Key Vault

Dans la vue Azure dans VS Code (à partir de l’extension Azure Tools) :

1. Développez RESOURCES et trouvez App Services sous votre abonnement. (Assurez-vous que vous affichez les ressources selon Regrouper par type de ressources).

2. Cliquez avec le bouton droit sur votre application web, puis sélectionnez Parcourir le site web. Si votre site web affiche une erreur, patientez quelques minutes et réessayez. La démarrage de l’application web peut prendre quelques minutes. Consultez également Résolution des problèmes d’App Service.

Résoudre les problèmes de déploiement

Si vous ne voyez pas l’exemple d’application, essayez les étapes suivantes.

• Avec le déploiement de conteneurs et App Service, vérifiez toujours la page Deployment Center / Logs dans le portail Azure. Vérifiez que le conteneur a été extrait et est en cours d’exécution. L’extraction initiale et l’exécution du conteneur peuvent prendre quelques instants.
• Essayez de redémarrer App Service et vérifiez si cela résout votre problème.
• S’il existe des erreurs de programmation, ces erreurs s’affichent dans les journaux d’application. Sur la page du Portail Azure pour App Service, sélectionnez Diagnostiquer et résoudre les problèmes/Journaux d’application.
• L’exemple d’application s’appuie sur une connexion à Azure Cosmos DB pour MongoDB. Vérifiez que App Service a des paramètres d’application avec les informations de connexion correctes.
• Vérifiez que l’identité managée est activée pour App Service et est utilisée dans le Centre de déploiement. Sur la page du portail Azure pour l’App Service, rendez-vous dans la ressource Deployment Center de l’App Service et confirmez que Authentication est défini sur Managed Identity.
• Vérifiez que le webhook est défini dans Azure Container Registry. Le webhook permet au service App de télécharger l’image du conteneur. En particulier, vérifiez que l’URI du service se termine par « /api/registry/webhook ». Si ce n’est pas le cas, ajoutez-le.
• Différentes références SKU Azure Container Registry ont différentes fonctionnalités, notamment le nombre de webhooks. Si vous réutilisez un registre existant, vous pouvez voir le message suivant : « Quota dépassé pour les webhooks de type de ressource pour la référence SKU Essentiel du registre. En savoir plus sur les différents quotas de référence SKU et le processus de mise à niveau : https://aka.ms/acr/tiers". Si vous voyez ce message, utilisez un nouveau registre ou réduisez le nombre de webhooks de registre en cours d’utilisation.

Étape suivante

Nettoyer les ressources