Geheimen voor Azure Functions op Azure Container Apps beheren

Wanneer u Azure Functions uitvoert op Azure Container Apps, werkt u met twee categorieën geheimen:

Categorie Beschrijving Verbruikt door
Geheimen op app-niveau Configuratiewaarden die uw functiecode leest tijdens runtime, zoals databaseverbindingsreeksen, API-sleutels en trigger-/bindingsreferenties. Uw code en de Functions Runtime-bindingen.
Toegangssleutels voor functies Verificatietokens (toegangssleutels) die door HTTP geactiveerde functie-eindpunten beveiligen, waaronder hoofd-, host-, functie- en systeemsleutels. Externe aanroepers van uw HTTP-functies (services, webhooks, ontwikkelaars).

Deze twee categorieën verschillen in richting:

Geheimen op app-niveau Toegangssleutels voor functies
Richting Uitgaand - uw functie authenticeert naar andere services Inkomend: bellers verifiëren zich bij uw functie
Wie heeft het geheim Uw functie-app De aanroeper (webhookprovider, service, ontwikkelaar)
Wat het beveiligt Waarmee uw functie verbinding maakt Wie kan uw HTTP-eindpunt aanroepen
Gevalideerd door De doeldienst De Functions runtime

Geheimen op app-niveau

Geheimen op app-niveau zijn de referenties die uw functiecode en bindingen nodig hebben om verbinding te maken met externe services. U kunt ze op twee manieren opslaan:

Option Ideaal voor Rotation Audit Guide
Container Apps-geheimen Dev/test, eenvoudige workloads met één app Handmatig Alleen activiteitenlogboeken Geheimen op app-niveau opslaan
Key Vault verwijzingen Productie, multi-applicatie, naleving Automatisch (versieloze URI) Volledige Key Vault diagnostische gegevens Geheimen op app-niveau opslaan

Aanbeveling

Begin met Container Apps-geheimen om het eenvoudig te houden. Ga naar Key Vault referenties wanneer je gecentraliseerd beheer, automatische rotatie, of auditing op nalevingsniveau nodig hebt.

Toegangssleutels voor functies

Toegangssleutels bieden lichtgewicht verificatie met gedeeld geheim voor HTTP-eindpunten. Gebruik toegangssleutels wanneer bellers geen Microsoft Entra ID tokens kunnen presenteren, zoals webhooks van derden, service-naar-service-aanroepen of tijdens de ontwikkeling.

Stel de AzureWebJobsSecretStorageType omgevingsvariabele in om een opslagback-end te kiezen:

Backend Waarde instellen Ideaal voor Guide
Container Apps Secret Store containerapps De meeste workloads: geen externe afhankelijkheden (aanbevolen) Hostsleutels configureren
Azure Key Vault keyvault Gecentraliseerd beheer, nalevingscontrole Hostsleutels configureren
Azure Blob-opslagruimte blob Verouderde apps of bestaande AzureWebJobsStorage afhankelijkheid Hostsleutels configureren
Lokaal bestandssysteem files Niet aanbevolen voor container-apps - zie de waarschuwing N/A

Houd deze backend-overwegingen in gedachten:

  • De runtime selecteert niet automatisch Container Apps geheime opslag. Als je deze niet instelt AzureWebJobsSecretStorageType of instelt op een niet-herkende waarde, gebruikt de Functions-host Blob Storage wanneer AzureWebJobsStorage die beschikbaar is.
  • Blijf AzureWebJobsStorage geconfigureerd voor opslaggezondheidscontroles en opslagafhankelijke functies.
  • Stel AzureWebJobsSecretStorageType niet in op files. Het bestandssysteem van Container Apps is vluchtig, dus sleutels die bij deze backend zijn opgeslagen, gaan verloren wanneer de app schaalt naar nul, opnieuw start of een nieuwe versie uitrolt.

Volgende stappen 

Kies de handleiding die overeenkomt met het type geheim dat u moet beheren:

Verwante inhoud

  • Last updated on