Managed Instance configureren in Azure App Service

Managed Instance op Azure App Service is een plan-scoped hostingoptie voor Windows-webapplicaties die aanpassing van het besturingssysteem, optionele privénetwerken en veilige integratie met Azure-diensten vereisen.

  • Beheerde identiteit
  • Configuratiescripts (installeren)
  • Opslagkoppelingen
  • Registersleutels
  • RdP-toegang (Extern bureaublad Protocol)

Belangrijk

Managed Instance is over het algemeen beschikbaar voor Windows-webapplicaties in geselecteerde regio's en is beperkt tot Pv4- en Pmv4-prijsplannen. Microsoft zal in de loop van de tijd meer regio's toevoegen. Managed Instance ondersteunt Linux en containers niet.

Een beheerde identiteit toevoegen (aan het App Service-plan)

Plan-niveau beheerde identiteiten maken authenticatie mogelijk voor infrastructuuroperaties die op de platformlaag plaatsvinden, zoals configuratiescripts (installatie) die tijdens het opstarten toegang krijgen tot Azure Storage, en toegang tot Key Vault voor storage mounts en registry key adapters.

Beheerde identiteiten voor het App Service-plan zijn vereist in de volgende scenario's:

  • Om uw configuratiescript veilig te openen en op te halen uit Azure Storage.
  • Toegang tot Key Vaults om referenties en waarden op te geven voor opslagkoppelingen en registersleuteladapters.

Zie Door de gebruiker toegewezen beheerde identiteiten beheren om een beheerde identiteit te maken.

Om een beheerde identiteit toe te voegen aan een Managed Instance-plan:

  1. Ga naar uw Managed Instance in de Azure-portal.
  2. Selecteer Identiteit>Door de gebruiker toegewezen.
  3. Selecteer + Toevoegen.
  4. Selecteer het abonnement en de beheerde identiteit.
  5. Selecteer Toevoegen om de identiteit toe te voegen aan het plan.

Configuratiescripts toevoegen (installeren)

Configuratiescripts (installatie) zijn niet verplicht. Gebruik een script wanneer je app vereist dat afhankelijkheden worden geïnstalleerd of dat functies op besturingssysteemniveau worden geconfigureerd.

Configuratiescripts (installeren) worden uitgevoerd bij het opstarten van het exemplaar om permanente aanpassing toe te passen. Voorbeelden zijn onder andere Component Object Model (COM)-registratie, Microsoft/Windows Installers (MSI)-installaties en het inschakelen van Windows-rollen/-functies. Gebruik configuratiescripts voor wijzigingen die moeten blijven bestaan bij herstarts van instanties. Gebruik RDP voor diagnostiek, niet voor persistente configuratie.

U hebt het volgende nodig om configuratiescripts (installeren) te gebruiken:

  • Een beheerde identiteit die is toegewezen aan het App Service-plan
  • Een opslagaccount met een Blob-container waarin het configuratiescriptpakket (installatie zip-bestand) is opgeslagen.
  • Een enkel zip-bestand waarvan de rootmap het toegangspunt Install.ps1 bevat.
  • Storage Blob Data Reader rol in het opslagaccount, de container of de resourcegroep

Een configuratiescript toevoegen:

  1. Ga naar uw Managed Instance App Service-plan in Azure Portal.

  2. SelecteerAlgemene instellingen voor configuratie>.

  3. Begin in de sectie Configuratiescript door het script te configureren.

    Configuratie Waarde
    Opslagaccount Selecteer uw opslagaccount
    Container Voer de naam van uw container in
    Zipfile Voer de naam van het zip-bestand in
    Waarde Controleer of deze waarde juist is

  4. Selecteer Toepassen om de wijzigingen op te slaan.

Best practices voor configuratiescripts

  • Scripts idempotent maken (controleren vóór installatie).
  • Beveilig destructieve bewerkingen (vermijd het wijzigen van beveiligde Windows-systeemmappen).
  • Gespreide installatie van zware apparatuur om de opstartlatentie te verminderen.

Voorbeeld van minimale zip-structuur:

Install.ps1
myInstallerfileNameGoesHere.msi
config.xml

Voorbeeld van configuratiescript:

# Install Components, for example Crystal Reports, Control Library, Database Driver
$ComponentInstaller = "myInstallerFileNameGoesHere.msi"
try {
    $Component = Join-Path $PSScriptRoot $ComponentInstaller
    Start-Process $Component -ArgumentList "/q" -Wait -ErrorAction Stop
} catch {
    Write-Error "Failed to install ${ComponentInstaller}: $_"
    exit 1
}

Opslagkoppelingen configureren

Storage mounts bieden persistente externe opslag, zoals Azure Files, waar je app toegang toe heeft. Gebruik storage mounts voor legacy code die gedeelde bestandssysteemtoegang nodig heeft. Gebruik geen storage mounts voor geheimen; gebruik in plaats daarvan Key Vault. Lokale opslag is tijdelijk, maar Azure Files en aangepaste UNC-mounts blijven bestaan bij herstarts.

U hebt het volgende nodig om opslagkoppelingen te configureren:

  • Beheerde identiteit (voor Key Vault-toegang)
  • Key Vault-geheim (aanmeldgegevensbron)

Opslagkoppelingen configureren:

  1. Ga naar uw Managed Instance in de Azure-portal.
  2. Selecteer Configuratie>Montages.
  3. Selecteer + Nieuwe opslagkoppeling.

Geef de volgende gegevens op om de opslagkoppeling te configureren:

Configuratie Waarde
Naam Voer een koppelingsnaam in
Opslagtype Azure-bestanden, Aangepast of Lokaal (tijdelijke opslag)
Opslagaccount Een opslagaccount selecteren of invoeren
Bestand delen Een bestandsshare selecteren
Waarde Selecteer een sleutelkluis
Geheim Het sleutelkluisgeheim selecteren
Stationsletter koppelen Pad naar stationsletter selecteren

U kunt externe opslag koppelen aan uw beheerde instantie. Gekoppelde opslag blijft bij het opnieuw opstarten en toegankelijk vanuit het bestandssysteem van uw app.

Opslagkoppelingen configureren met Azure Files

Een Azure Files-opslagkoppeling configureren:

  1. Maak een Azure Storage-account en een Azure Files-share.
  2. Sla een verbindingsreferentie op in Key Vault als geheim. Ondersteunde geheime inhoud: (bijvoorbeeld: DefaultEndpointsProtocol=...;AccountName=...;AccountKey=...;EndpointSuffix=core.windows.net)
  3. Voeg de koppeling toe in Managed Instance (Azure Portal of ARM/Bicep/Terraform).

Aanbeveling

Dwing machtigingen op shareniveau af via Azure RBAC + share-ACL's voor verbeterde beveiliging.

Opslagkoppelingen configureren met aangepaste UNC

Gebruik koppelingen voor SMB-shares die elders worden gehost (on-premises, VM of niet-Microsoft). Zorg voor netwerkconnectiviteit (integratie van virtuele netwerken/privé-eindpunten/firewalls).

  1. Als er referenties nodig zijn, slaat u deze op in een Key Vault-geheim in de indeling: username=<user>,password=<password>
    • Vermijd domeinbeheerdersaccounts; gebruik een service-identiteit met minimale bevoegdheden.
  2. Voeg de koppeling toe in Managed Instance.

Registersleutels configureren

Sommige toepassingen zijn afhankelijk van waarden die worden gelezen uit het Windows-register. Met een registersleuteladapter kunt u registersleutels maken en geheimen uit Azure Key Vault gebruiken als waarde.

U hebt het volgende nodig om registersleutels te configureren:

  • Beheerde identiteit (voor Key Vault-toegang)
  • Key Vault-geheim (aanmeldgegevensbron)

Registersleutels configureren:

  1. Ga naarconfiguratieregistersleutels>.

  2. Selecteer + Toevoegen.

    Configuratie Waarde
    Path Voer het registerpad in
    Kluis Voer een bestaande kluisnaam in
    Geheim Het sleutelkluisgeheim selecteren of invoeren
    Typologie Tekenreeks of DWORD

  3. Selecteer Toevoegen om de registersleutel toe te voegen.

Waarschuwing

Wees voorzichtig bij het wijzigen van systeemkritieke registerpaden. Onjuiste wijzigingen kunnen de stabiliteit van instanties beïnvloeden.

RDP-toegang (Bastion) configureren

Quickstart: Met Azure Bastion kunt u automatisch veilig verbinding maken met uw VM-exemplaren via Extern bureaublad Protocol (RDP). RDP via Azure Bastion is bedoeld voor diagnostiek en probleemoplossing. Gebruik configuratiescripts voor persistente wijzigingen.

U hebt de volgende resources nodig voor Toegang tot Bastion/RDP:

  • Managed Instance moet zijn geïntegreerd met een virtueel netwerk
  • Azure Bastion-host in het virtuele doelnetwerk
  • Poort 3389 moet zijn toegestaan van de NSG van het Bastion-subnet naar het subnet van het App Service-plan

Bastion configureren:

  1. Ga naar Configuration>Bastion/RDP.
  2. Controleer of het virtuele netwerk is verbonden.
  3. Selecteer Extern bureaublad toestaan (via Bastion).

Waarschuwing

Pas geen handmatige installatieprogramma's of configuratiewijzigingen alleen toe via RDP. Wijzigingen gaan verloren bij het recyclen of het veroorzaken van configuratiedrift.

Veelgestelde vragen (FAQ)

Welk besturingssysteem (besturingssysteem) wordt uitgevoerd in Managed Instance in Azure App Service?

Windows Server 2022.

Kan ik meer Windows-rollen en -functies inschakelen?

Ja, via een configuratiescript. Je kunt echter geen functies configureren die uit een toekomstige versie van Windows Server zijn verwijderd.

Ontvangt Managed Instance in Azure App Service regelmatig updates voor het platform en de toepassingsstack?

Ja, exemplaren ontvangen routineplatformupdates en -onderhoud. De dienst werkt ook regelmatig vooraf geïnstalleerde applicatiestacks bij. Je bent verantwoordelijk voor het onderhouden van alle componenten die je installeert via configuratiescripts.

Welke programmeertalen zijn geïnstalleerd in Managed Instance in Azure App Service?

De dienst omvat Microsoft .NET Framework 3.5, 4.8 en Microsoft .NET 8.0. Als je andere runtimes nodig hebt, installeer die dan met een configuratiescript. Azure App Service onderhoudt geen extra runtimes als onderdeel van het platform.

Wat zijn beperkingen voor de configuratiescripts (installeren)?

Wat zijn de beperkingen van de configuratie (installatie) scripts?

Configuratiescripts (installeren) kunnen afhankelijkheden installeren, functies en onderdelen inschakelen en het besturingssysteem aanpassen. De service ondersteunt echter geen destructieve operaties (bijvoorbeeld verwijderen Windows\\System32) omdat deze de stabiliteit van de instanties kunnen beïnvloeden.

Op welk machtigingsniveau wordt een configuratiescript (installatiescript) uitgevoerd?

Configuratiescripts (installeren) worden uitgevoerd met beheerdersmachtigingen om installatie en configuratie van onderdelen op systeemniveau toe te staan.

Welke rolmachtigingen heeft een operator wanneer hij verbinding maakt met een instantie via Bastion?

Operators die verbinding maken via Bastion, hebben beheerdersbevoegdheden tijdens de sessie.

Hoe los ik fouten op met mijn configuratiescript of register-/opslagadapters?

Operators die verbinding maken via Bastion hebben tijdens de sessie administratorrechten . Je kunt adapterlogs vinden in de wortel van de machine, of ze zijn ingelogd in App Service Platform Logs.

Adapterlogboeken kunnen worden gevonden in de hoofddirectory van de machine, of ze worden als alternatief vastgelegd in App Service Platform-logboeken.

Wat is het adresseerbare geheugen van een beheerd exemplaar op een Azure App Service-werkvoorbeeld?

Het adresseerbare geheugen van een Managed Instance op een Azure App Service worker-instantie varieert afhankelijk van het gekozen prijsplan. De volgende tabel geeft het adresseerbare geheugen weer voor de Managed Instance worker-instantie.

Prijsoverzicht Kernen Geheugen (MB)
P0v4 1 2048
P1v4 2 5952
P2v4 4 13440
P3v4 8 28672
P1Mv4 2 13440
P2Mv4 4 28672
P3Mv4 8 60160
P4Mv4 16 121088
P5Mv4 32 246016

Welke Azure Storage-service moet ik gebruiken om een configuratiescript (installatie) te uploaden?

Gebruik de Azure Storage-blobservice voor het uploaden van het script en de vereiste afhankelijkheden.

Is er een beperking voor naamgeving en indeling voor het configuratiescript (installatiescript) ?

Ja, het script moet de naam Install.ps1hebben. Alleen PowerShell wordt ondersteund. Zorg ervoor dat u configuratiescripts en afhankelijkheden uploadt als één .zip-bestand.

Is er een groottelimiet voor de afhankelijkheden die ik kan uploaden als onderdeel van het zip-bestand?

Er wordt geen groottelimiet afgedwongen. Houd er rekening mee dat de totale grootte van afhankelijkheden van invloed is op de voorzieningstijd van het exemplaar.

Wordt het toevoegen of bewerken van een Managed Instance op App Service-planadapters de exemplaren van het plan opnieuw opgestart?

Ja, het toevoegen of bewerken van Managed Instance-planadapters (configuratiescript, opslag of register) start de onderliggende instanties opnieuw op en beïnvloedt alle webapplicaties die op het plan zijn uitgerold. Instance-herstarts zijn vereist om configuratiewijzigingen toe te passen.

Mijn beheerde exemplaarplan heeft meerdere exemplaren, kan ik één exemplaar opnieuw starten?

Ja, blader naar het beheerde exemplaar en selecteer Exemplaren in het linkermenu. Selecteer vervolgens opnieuw opstarten naast de naam van het exemplaar.

Mijn beheerde exemplaar in het App Service-plan heeft meerdere webtoepassingen, kan ik één webtoepassing opnieuw starten?

Ja, blader naar de overzichtspagina van de app en selecteer Opnieuw opstarten.

Kan ik beheerde identiteit toewijzen aan mijn webtoepassing binnen het beheerde exemplaar in het App Service-plan?

Ja, u kunt een andere beheerde identiteit toewijzen aan een webtoepassing in het beheerde exemplaar. Volg de richtlijnen voor beheerde identiteit

Is er een beperking voor het aantal adapters dat ik voor Managed Instance in een App Service-plan kan maken?

Is er een beperking op het aantal adapters dat ik kan aanmaken voor Managed Instance in het App Service-plan?

Nee, er is geen limiet voor het aantal opslag- of registeradapters. U kunt slechts één configuratiescriptadapter (installeren) maken voor Managed Instance in een App Service-plan. Het verhogen van het aantal adapters kan de tijd voor het provisioneren van instanties vergroten.

Verwante inhoud

  • Last updated on