Samouczek: integrowanie Azure Functions z siecią wirtualną platformy Azure przy użyciu prywatnych punktów końcowych
W tym samouczku pokazano, jak używać Azure Functions do łączenia się z zasobami w sieci wirtualnej platformy Azure przy użyciu prywatnych punktów końcowych. Tworzysz nową aplikację funkcji przy użyciu nowego konta magazynu, które jest zablokowane za siecią wirtualną za pośrednictwem Azure Portal. Sieć wirtualna używa wyzwalacza kolejki usługi Service Bus.
W tym samouczku wykonasz następujące elementy:
- Utwórz aplikację funkcji w planie Elastic Premium z integracją sieci wirtualnej i prywatnymi punktami końcowymi.
- Tworzenie zasobów platformy Azure, takich jak usługa Service Bus
- Zablokuj usługę Service Bus za prywatnym punktem końcowym.
- Wdróż aplikację funkcji korzystającą zarówno z wyzwalaczy Service Bus, jak i HTTP.
- Przetestuj, aby sprawdzić, czy aplikacja funkcji jest bezpieczna w sieci wirtualnej.
- Wyczyść zasoby.
Tworzenie aplikacji funkcji w planie Premium
Aplikację funkcji języka C# można utworzyć w planie Elastic Premium, która obsługuje funkcje sieciowe, takie jak integracja sieci wirtualnej z tworzeniem wraz z skalowaniem bezserwerowym. W tym samouczku jest używany język C# i system Windows. Obsługiwane są również inne języki i system Linux.
W menu Azure Portal lub na stronie głównej wybierz pozycję Utwórz zasób.
Na stronie Nowy wybierz pozycjęAplikacja funkcjiobliczeniowej>.
Na stronie Podstawowe użyj poniższej tabeli, aby skonfigurować ustawienia aplikacji funkcji.
Ustawienie Sugerowana wartość Opis Subskrypcja Twoja subskrypcja Subskrypcja, w ramach której utworzono tę nową aplikację funkcji. Grupa zasobów myResourceGroup Nazwa nowej grupy zasobów, w której tworzysz aplikację funkcji. Nazwa aplikacji funkcji Nazwa unikatowa w skali globalnej Nazwa identyfikująca nową aplikację funkcji. Prawidłowe znaki to a-z(bez uwzględniania wielkości liter),0-9i-.Publikowanie Kod Wybierz opcję publikowania plików kodu lub kontenera platformy Docker. Stos środowiska uruchomieniowego .NET W tym samouczku jest używana platforma .NET. Wersja 6 (LTS) W tym samouczku jest używany program .NET 6.0 działający w tym samym procesie co host usługi Functions. Region Preferowany region Wybierz region w pobliżu Ciebie lub w pobliżu innych usług, do których uzyskujesz dostęp do funkcji. System operacyjny Windows W tym samouczku jest używany system Windows, ale działa również w systemie Linux. Planowanie Functions Premium Plan hostingu określający sposób przydzielania zasobów do aplikacji funkcji. Domyślnie po wybraniu pozycji Premium zostanie utworzony nowy plan App Service. Domyślna jednostka SKU i rozmiar to EP1, gdzie EP to elastyczna wersja Premium. Aby uzyskać więcej informacji, zobacz listę jednostek SKU Premium.
Po uruchomieniu funkcji JavaScript w planie Premium wybierz wystąpienie, które ma mniej procesorów wirtualnych. Aby uzyskać więcej informacji, zobacz Wybieranie planów premium z jednym rdzeniem.Wybierz pozycję Dalej: Magazyn. Na stronie Magazyn wprowadź następujące ustawienia.
Ustawienie Sugerowana wartość Opis Konto magazynu Nazwa unikatowa w skali globalnej Utwórz konto magazynu używane przez aplikację funkcji. Nazwy kont magazynu muszą mieć długość od 3 do 24 znaków. Mogą zawierać tylko cyfry i małe litery. Możesz również użyć istniejącego konta, które nie jest ograniczone przez reguły zapory i spełnia wymagania dotyczące konta magazynu. W przypadku korzystania z funkcji z zablokowanym kontem magazynu wymagane jest konto magazynu w wersji 2. Jest to domyślna wersja magazynu utworzona podczas tworzenia aplikacji funkcji z funkcjami sieciowymi za pośrednictwem bloku tworzenia. Wybierz pozycję Dalej: Sieć. Na stronie Sieć wprowadź następujące ustawienia.
Uwaga
Niektóre z tych ustawień nie są widoczne, dopóki nie zostaną wybrane inne opcje.
Ustawienie Sugerowana wartość Opis Włączanie dostępu publicznego Wyłączone Odmowa dostępu do sieci publicznej spowoduje zablokowanie całego ruchu przychodzącego, z wyjątkiem tego, że pochodzi z prywatnych punktów końcowych. Włączanie wstrzykiwania sieci Włączone Możliwość skonfigurowania aplikacji z integracją z siecią wirtualną podczas tworzenia jest wyświetlana w oknie portalu po przełączeniu tej opcji na włączone. Virtual Network Kliknięcie przycisku Nowe Wybierz pole Utwórz nowy . Na wyskakującym ekranie podaj nazwę sieci wirtualnej i wybierz przycisk OK. Wyświetlane są opcje ograniczania dostępu przychodzącego i wychodzącego do aplikacji funkcji podczas tworzenia. Aby ograniczyć dostęp wychodzący, należy jawnie włączyć integrację sieci wirtualnej w części dostęp wychodzący okna. Wprowadź następujące ustawienia w sekcji Dostęp przychodzący . Ten krok powoduje utworzenie prywatnego punktu końcowego w aplikacji funkcji.
Porada
Aby kontynuować interakcję z aplikacją funkcji z portalu, należy dodać komputer lokalny do sieci wirtualnej. Jeśli nie chcesz ograniczać dostępu przychodzącego, pomiń ten krok.
Ustawienie Sugerowana wartość Opis Włączanie prywatnych punktów końcowych Włączone Możliwość skonfigurowania aplikacji z integracją z siecią wirtualną podczas tworzenia jest wyświetlana w portalu po włączeniu tej opcji. Nazwa prywatnego punktu końcowego myInboundPrivateEndpointName Nazwa identyfikująca prywatny punkt końcowy nowej aplikacji funkcji. Podsieć ruchu przychodzącego Kliknięcie przycisku Nowe Ta opcja tworzy nową podsieć dla przychodzącego prywatnego punktu końcowego. Do podsieci pojedynczej można dodać wiele prywatnych punktów końcowych. Podaj nazwę podsieci. Blok adresów podsieci może być pozostawiony w wartości domyślnej. Wybierz przycisk OK. Aby dowiedzieć się więcej o określaniu rozmiaru podsieci, zobacz Podsieci. DNS Prywatna strefa DNS platformy Azure Ta wartość wskazuje, którego serwera DNS używa prywatny punkt końcowy. W większości przypadków, jeśli pracujesz na platformie Azure, strefa azure Prywatna strefa DNS to strefa DNS, której należy użyć jako ręcznej dla niestandardowych stref DNS, zwiększyła się złożoność. Wprowadź następujące ustawienia w sekcji Dostęp wychodzący . Ten krok integruje aplikację funkcji z siecią wirtualną podczas tworzenia. Udostępnia również opcje tworzenia prywatnych punktów końcowych na koncie magazynu i ograniczania konta magazynu z dostępu do sieci podczas tworzenia. Gdy aplikacja funkcji jest zintegrowana z siecią wirtualną, cały ruch wychodzący domyślnie przechodzi przez sieć wirtualną.
Ustawienie Sugerowana wartość Opis Włączanie integracji z siecią wirtualną Włączone Integruje to aplikację funkcji z siecią wirtualną podczas tworzenia i kierowania całego ruchu wychodzącego przez sieć wirtualną. Podsieć ruchu wychodzącego Tworzenie nowego elementu Spowoduje to utworzenie nowej podsieci dla integracji sieci wirtualnej aplikacji funkcji. Aplikacja funkcji może być zintegrowana tylko z pustą podsiecią. Podaj nazwę podsieci. Blok adresów podsieci może być pozostawiony w wartości domyślnej. Jeśli chcesz ją skonfigurować, dowiedz się więcej o określaniu rozmiaru podsieci tutaj. Wybierz przycisk OK. Zostanie wyświetlona opcja tworzenia prywatnych punktów końcowych usługi Storage . Aby używać aplikacji funkcji z sieciami wirtualnymi, należy dołączyć ją do podsieci. Wprowadź następujące ustawienia w sekcji Prywatny punkt końcowy usługi Storage . Ten krok tworzy prywatne punkty końcowe dla obiektów blob, kolejki, plików i punktów końcowych tabeli na koncie magazynu podczas tworzenia. Skutecznie integruje to konto magazynu z siecią wirtualną.
Ustawienie Sugerowana wartość Opis Dodawanie prywatnego punktu końcowego magazynu Włączone Możliwość skonfigurowania aplikacji z integracją z siecią wirtualną podczas tworzenia jest wyświetlana w portalu po włączeniu tej opcji. Nazwa prywatnego punktu końcowego myInboundPrivateEndpointName Nazwa identyfikująca prywatny punkt końcowy konta magazynu. Podsieć prywatnego punktu końcowego Kliknięcie przycisku Nowe Spowoduje to utworzenie nowej podsieci dla przychodzącego prywatnego punktu końcowego na koncie magazynu. Do podsieci pojedynczej można dodać wiele prywatnych punktów końcowych. Podaj nazwę podsieci. Blok adresów podsieci może być pozostawiony w wartości domyślnej. Jeśli chcesz ją skonfigurować, dowiedz się więcej o określaniu rozmiaru podsieci tutaj. Wybierz przycisk OK. DNS Prywatna strefa DNS platformy Azure Ta wartość wskazuje, którego serwera DNS używa prywatny punkt końcowy. W większości przypadków, jeśli pracujesz na platformie Azure, strefa azure Prywatna strefa DNS jest strefą DNS, której należy użyć jako ręcznej dla niestandardowych stref DNS, zwiększy się złożoność. Wybierz pozycję Dalej: Monitorowanie. Na stronie Monitorowanie wprowadź następujące ustawienia.
Ustawienie Sugerowana wartość Opis Application Insights Domyślne Utwórz zasób usługi Application Insights o tej samej nazwie aplikacji w najbliższym obsługiwanym regionie. Rozwiń to ustawienie, jeśli musisz zmienić nazwę nowego zasobu lub zapisać dane w innej lokalizacji w lokalizacji geograficznej platformy Azure. Wybierz pozycję Przejrzyj i utwórz , aby przejrzeć wybrane opcje konfiguracji aplikacji.
Na stronie Przeglądanie i tworzenie przejrzyj ustawienia. Następnie wybierz pozycję Utwórz, aby utworzyć i wdrożyć aplikację funkcji.
W prawym górnym rogu portalu wybierz ikonę Powiadomienia i watch komunikatu Wdrożenie powiodło się.
Wybierz pozycję Przejdź do zasobu, aby wyświetlić nową aplikację funkcji. Możesz również wybrać pozycję Przypnij do pulpitu nawigacyjnego. Przypinanie ułatwia powrót do tego zasobu aplikacji funkcji z pulpitu nawigacyjnego.
Gratulacje! Pomyślnie utworzono aplikację funkcji Premium.
Uwaga
Niektóre wdrożenia mogą nie utworzyć prywatnych punktów końcowych na koncie magazynu z powodu błędu "StorageAccountOperationInProgress". Ten błąd występuje, mimo że sama aplikacja funkcji zostanie pomyślnie utworzona. Gdy wystąpi taki błąd, usuń aplikację funkcji i ponów próbę wykonania operacji. Zamiast tego możesz ręcznie utworzyć prywatne punkty końcowe na koncie magazynu.
Tworzenie usługi Service Bus
Następnie utworzysz wystąpienie usługi Service Bus, które jest używane do testowania funkcjonalności możliwości sieci aplikacji funkcji w tym samouczku.
W menu Azure Portal lub na stronie głównej wybierz pozycję Utwórz zasób.
Na stronie Nowy wyszukaj usługę Service Bus. Następnie wybierz pozycję Utwórz.
Na karcie Podstawowe użyj poniższej tabeli, aby skonfigurować ustawienia usługi Service Bus. Wszystkie inne ustawienia mogą używać wartości domyślnych.
Ustawienie Sugerowana wartość Opis Subskrypcja Twoja subskrypcja Subskrypcja, w której są tworzone zasoby. Grupa zasobów myResourceGroup Grupa zasobów utworzona za pomocą aplikacji funkcji. Nazwa przestrzeni nazw myServiceBus Nazwa wystąpienia usługi Service Bus, dla którego jest włączony prywatny punkt końcowy. Lokalizacja myFunctionRegion Region, w którym utworzono aplikację funkcji. Warstwa cenowa Premium Wybierz tę warstwę, aby używać prywatnych punktów końcowych z Azure Service Bus. Wybierz pozycję Przejrzyj i utwórz. Po zakończeniu walidacji wybierz pozycję Utwórz.
Blokowanie usługi Service Bus
Utwórz prywatny punkt końcowy, aby zablokować usługę Service Bus:
W nowej usłudze Service Bus w menu po lewej stronie wybierz pozycję Sieć.
Na karcie Połączenia prywatnego punktu końcowego wybierz pozycję Prywatny punkt końcowy.
Na karcie Podstawy użyj ustawień prywatnego punktu końcowego pokazanego w poniższej tabeli.
Ustawienie Sugerowana wartość Opis Subskrypcja Twoja subskrypcja Subskrypcja, w której są tworzone zasoby. Grupa zasobów myResourceGroup Grupa zasobów utworzona za pomocą aplikacji funkcji. Nazwa sb-endpoint Nazwa prywatnego punktu końcowego dla magistrali usług. Region (Region) myFunctionRegion Region, w którym utworzono konto magazynu. Na karcie Zasób użyj ustawień prywatnego punktu końcowego pokazanego w poniższej tabeli.
Ustawienie Sugerowana wartość Opis Subskrypcja Twoja subskrypcja Subskrypcja, w ramach której są tworzone zasoby. Typ zasobu Microsoft.ServiceBus/przestrzenie nazw Typ zasobu dla usługi Service Bus. Zasób myServiceBus Usługa Service Bus utworzona wcześniej w tym samouczku. Docelowy podźródło namespace Prywatny punkt końcowy używany dla przestrzeni nazw z usługi Service Bus. Na karcie Virtual Network dla ustawienia Podsieć wybierz pozycję domyślną.
Wybierz pozycję Przejrzyj i utwórz. Po zakończeniu walidacji wybierz pozycję Utwórz.
Po utworzeniu prywatnego punktu końcowego wróć do sekcji Sieć przestrzeni nazw usługi Service Bus i sprawdź kartę Dostęp publiczny .
Upewnij się, że wybrano pozycję Wybrane sieci .
Wybierz pozycję + Dodaj istniejącą sieć wirtualną , aby dodać niedawno utworzoną sieć wirtualną.
Na karcie Dodawanie sieci użyj ustawień sieci z poniższej tabeli:
Ustawienie Sugerowana wartość Opis Subskrypcja Twoja subskrypcja Subskrypcja, w ramach której są tworzone zasoby. Sieci wirtualne myVirtualNet Nazwa sieci wirtualnej, z którą łączy się aplikacja funkcji. Podsieci — funkcje Nazwa podsieci, z którą łączy się aplikacja funkcji. Wybierz pozycję Dodaj adres IP klienta , aby nadać bieżącemu adresowi IP klienta dostęp do przestrzeni nazw.
Uwaga
Zezwolenie na adres IP klienta jest konieczne, aby umożliwić Azure Portal publikowanie komunikatów w kolejce w dalszej części tego samouczka.
Wybierz pozycję Włącz , aby włączyć punkt końcowy usługi.
Wybierz pozycję Dodaj , aby dodać wybraną sieć wirtualną i podsieć do reguł zapory dla usługi Service Bus.
Wybierz pozycję Zapisz , aby zapisać zaktualizowane reguły zapory.
Zasoby w sieci wirtualnej mogą teraz komunikować się z usługą Service Bus przy użyciu prywatnego punktu końcowego.
Tworzenie kolejki
Utwórz kolejkę, w której wyzwalacz usługi Azure Functions Service Bus pobiera zdarzenia:
W usłudze Service Bus w menu po lewej stronie wybierz pozycję Kolejki.
Wybierz pozycję Kolejka. Na potrzeby tego samouczka podaj nazwę kolejki nazw jako nazwę nowej kolejki.
Wybierz przycisk Utwórz.
Pobieranie parametrów połączenia usługi Service Bus
W usłudze Service Bus w menu po lewej stronie wybierz pozycję Zasady dostępu współdzielonego.
Wybierz pozycję RootManageSharedAccessKey. Skopiuj i zapisz podstawowe parametry połączenia. Te parametry połączenia są potrzebne podczas konfigurowania ustawień aplikacji.
Konfigurowanie ustawień aplikacji funkcji
W aplikacji funkcji w menu po lewej stronie wybierz pozycję Konfiguracja.
Aby używać aplikacji funkcji z sieciami wirtualnymi i usługą Service Bus, zaktualizuj ustawienia aplikacji pokazane w poniższej tabeli. Aby dodać lub edytować ustawienie, wybierz pozycję + Nowe ustawienie aplikacji lub ikonę Edytuj w najbardziej prawej kolumnie tabeli ustawień aplikacji. Po zakończeniu wybierz pozycję Zapisz.
Ustawienie Sugerowana wartość Opis SERVICEBUS_CONNECTION myServiceBusConnectionString Utwórz to ustawienie aplikacji dla parametrów połączenia usługi Service Bus. Te parametry połączenia magazynu pochodzą z sekcji Pobieranie parametrów połączenia usługi Service Bus . WEBSITE_CONTENTOVERVNET 1 Utwórz to ustawienie aplikacji. Wartość 1 umożliwia skalowanie aplikacji funkcji, gdy konto magazynu jest ograniczone do sieci wirtualnej. Ponieważ używasz planu hostingu Elastic Premium, w widoku Konfiguracja wybierz kartę Ustawienia środowiska uruchomieniowego funkcji . Ustaw pozycję Monitorowanie skalowania środowiska uruchomieniowego na włączone. Następnie wybierz pozycję Zapisz. Skalowanie oparte na środowisku uruchomieniowym umożliwia łączenie funkcji wyzwalacza innych niż HTTP z usługami uruchomionymi w sieci wirtualnej.
Uwaga
Skalowanie środowiska uruchomieniowego nie jest wymagane w przypadku aplikacji funkcji hostowanych w ramach dedykowanego planu App Service.
Wdrażanie wyzwalacza usługi Service Bus i wyzwalacza HTTP
Uwaga
Włączenie prywatnych punktów końcowych w aplikacji funkcji powoduje również, że witryna Menedżera kontroli źródła (SCM) jest publicznie niedostępna. Poniższe instrukcje zawierają wskazówki dotyczące wdrażania przy użyciu Centrum wdrażania w aplikacji funkcji. Możesz też użyć narzędzia zip deploy lub self-hosted agentów wdrożonych w podsieci w sieci wirtualnej.
W usłudze GitHub przejdź do następującego przykładowego repozytorium. Zawiera ona aplikację funkcji i dwie funkcje, wyzwalacz HTTP i wyzwalacz kolejki usługi Service Bus.
W górnej części strony wybierz pozycję Rozwidlenie , aby utworzyć rozwidlenie tego repozytorium na własnym koncie lub organizacji usługi GitHub.
W aplikacji funkcji w menu po lewej stronie wybierz pozycję Centrum wdrażania. Następnie wybierz pozycję Ustawienia.
Na karcie Ustawienia użyj ustawień wdrożenia przedstawionych w poniższej tabeli.
Ustawienie Sugerowana wartość Opis Element źródłowy GitHub Repozytorium GitHub powinno zostać utworzone dla przykładowego kodu w kroku 2. Organizacja myOrganization W organizacji, do których zostało zaewidencjonowane repozytorium. Zazwyczaj jest to Twoje konto. Repozytorium functions-vnet-tutorial Rozwidlenie repozytorium z https://github.com/Azure-Samples/functions-vnet-tutorialpliku . Gałąź main Główna gałąź utworzonego repozytorium. Stos środowiska uruchomieniowego .NET Przykładowy kod znajduje się w języku C#. Wersja .NET Core 3.1 Wersja środowiska uruchomieniowego. Wybierz pozycję Zapisz.
Początkowe wdrożenie może potrwać kilka minut. Po pomyślnym wdrożeniu aplikacji na karcie Dzienniki zostanie wyświetlony komunikat o stanie Powodzenie (aktywne). W razie potrzeby odśwież stronę.
Gratulacje! Pomyślnie wdrożono przykładową aplikację funkcji.
Testowanie zablokowanej aplikacji funkcji
W aplikacji funkcji w menu po lewej stronie wybierz pozycję Funkcje.
Wybierz kolejno pozycje ServiceBusQueueTrigger.
W menu po lewej stronie wybierz pozycję Monitor.
Zobaczysz, że nie możesz monitorować aplikacji. Przeglądarka nie ma dostępu do sieci wirtualnej, więc nie może bezpośrednio uzyskiwać dostępu do zasobów w sieci wirtualnej.
Oto alternatywny sposób monitorowania funkcji przy użyciu usługi Application Insights:
W aplikacji funkcji w menu po lewej stronie wybierz pozycję Application Insights. Następnie wybierz pozycję Wyświetl dane usługi Application Insights.
W menu po lewej stronie wybierz pozycję Metryki na żywo.
Otwórz nową kartę. W usłudze Service Bus w menu po lewej stronie wybierz pozycję Kolejki.
Wybierz kolejkę.
W menu po lewej stronie wybierz pozycję Eksplorator usługi Service Bus. W obszarze Wyślij w polu Typ zawartości wybierz pozycję Tekst/Zwykły. Następnie wprowadź komunikat.
Wybierz pozycję Wyślij, aby wysłać wiadomość.
Na karcie Metryki na żywo powinien zostać wyświetlony wyzwalacz kolejki usługi Service Bus. Jeśli tak nie jest, wyślij ponownie komunikat z Eksploratora usługi Service Bus.
Gratulacje! Pomyślnie przetestowano konfigurację aplikacji funkcji przy użyciu prywatnych punktów końcowych.
Omówienie prywatnych stref DNS
Do nawiązania połączenia z zasobami platformy Azure użyto prywatnego punktu końcowego. Łączysz się z prywatnym adresem IP zamiast publicznego punktu końcowego. Istniejące usługi platformy Azure są skonfigurowane do używania istniejącego systemu DNS do nawiązywania połączenia z publicznym punktem końcowym. Aby nawiązać połączenie z prywatnym punktem końcowym, należy zastąpić konfigurację DNS.
Prywatna strefa DNS jest tworzona dla każdego zasobu platformy Azure skonfigurowanego przy użyciu prywatnego punktu końcowego. Rekord DNS jest tworzony dla każdego prywatnego adresu IP skojarzonego z prywatnym punktem końcowym.
W tym samouczku utworzono następujące strefy DNS:
- privatelink.file.core.windows.net
- privatelink.blob.core.windows.net
- privatelink.servicebus.windows.net
- privatelink.azurewebsites.net
Czyszczenie zasobów
W poprzednich krokach utworzono zasoby platformy Azure w grupie zasobów. Jeśli nie będziesz już potrzebować tych zasobów w przyszłości, możesz je usunąć przez usunięcie grupy zasobów.
Z menu Azure Portal lub strony głównej wybierz pozycję Grupy zasobów. Następnie na stronie Grupy zasobów wybierz pozycję myResourceGroup.
Na stronie myResourceGroup upewnij się, że wymienione zasoby są tymi, które chcesz usunąć.
Wybierz pozycję Usuń grupę zasobów, wpisz myResourceGroup w polu tekstowym, aby potwierdzić, a następnie wybierz pozycję Usuń.
Następne kroki
W tym samouczku utworzono aplikację funkcji Premium, konto magazynu i usługę Service Bus. Wszystkie te zasoby zostały zabezpieczone za prywatnymi punktami końcowymi.
Skorzystaj z poniższych linków, aby dowiedzieć się więcej Azure Functions opcje sieci i prywatne punkty końcowe: