Implantar um contêiner personalizado no Serviço de Aplicativo usando o GitHub Actions

Você pode usar o GitHub Actions para criar um fluxo de trabalho de desenvolvimento de software automatizado. Você pode usar a ação de Implantação da Web do Azure para automatizar seu fluxo de trabalho e implantar contêineres personalizados no Serviço de Aplicativo do Azure.

Um fluxo de trabalho é definido por um arquivo YAML (.yml) no caminho /.github/workflows/ no repositório. Essa definição contém as várias etapas e os parâmetros que estão no fluxo de trabalho.

Para um fluxo de trabalho de contêiner do Serviço de Aplicativo, o arquivo tem três seções:

Seção	Tarefas
Autenticação	1. Recuperar uma entidade de serviço ou um perfil de publicação. 2. Criar um segredo do GitHub.
Compilar	1. Criar o ambiente. 2. Compilar a imagem de contêiner.
Implantar	1. Implantar a imagem de contêiner.

Pré-requisitos

• Uma conta do Azure com uma assinatura ativa. Crie uma conta gratuitamente.
• Uma conta do GitHub. Caso ainda não tenha uma, inscreva-se gratuitamente. Você precisa ter código em um repositório GitHub para implantar no Serviço de Aplicativo do Azure.
• Um registro de contêiner em funcionamento e um aplicativo do Serviço de Aplicativo do Azure para contêineres. Este exemplo usa o Registro de Contêiner do Azure. Conclua a implantação completa no Serviço de Aplicativo do Azure para contêineres. Ao contrário dos aplicativos Web regulares, os aplicativos Web para contêineres não têm uma página de aterrissagem padrão. Publique o contêiner para ter um exemplo em funcionamento.
• Conclua estas tarefas: saiba como criar um aplicativo de Node.js em contêineres usando o Docker, efetuar push da imagem de contêiner para um registro e, em seguida, implantar a imagem no Serviço de Aplicativo do Azure.

Gerar as credenciais de implantação

Recomendamos que você se autentique com os Serviços de Aplicativo do Azure para GitHub Actions usando o OpenID Connect. Você também pode se autenticar com uma entidade de serviço ou um perfil de publicação.

Para autenticar-se no Azure, salve sua credencial de perfil de publicação ou principal de serviço como um segredo do GitHub. Você acessa o segredo no fluxo de trabalho.

Perfil de publicação

Um perfil de publicação é uma credencial de nível de aplicativo. Configure o perfil de publicação como segredo do GitHub.

1. Acesse o Serviço de Aplicativo no portal do Azure.

2. No painel Visão geral , selecione Obter perfil Publicar.

   Observação

   Desde outubro de 2020, os usuários precisam definir a configuração do aplicativo para aplicativos Web do Linux WEBSITE_WEBDEPLOY_USE_SCM como trueantes de baixarem o arquivo. Para saber como definir as configurações comuns do aplicativo Web, acesse Configurar um aplicativo do Serviço de Aplicativo no portal do Azure.

3. Salve o arquivo baixado. Use o conteúdo do arquivo para criar um segredo do GitHub.

Entidade de serviço

1. Crie um aplicativo do Microsoft Entra com uma entidade de serviço usando o portal do Azure, a CLI do Azure ou o Azure PowerShell.

2. Crie um segredo do cliente para sua entidade de serviço usando o portal do Azure, a CLI do Azure ou o Azure PowerShell.

3. Copie os valores para ID do cliente, Segredo do Cliente e ID da Assinatura e ID do Diretório (locatário) para usar posteriormente no seu fluxo de trabalho do GitHub Actions.

4. Atribua uma função apropriada à entidade de serviço usando o portal do Azure, a CLI do Azure ou o Azure PowerShell.

OpenID Connect

O OpenID Connect é um método de autenticação que usa tokens de curta duração. Configurar o OpenID Connect com o GitHub Actions é um processo mais complexo que oferece segurança protegida.

Para usar a ação de Logon do Azure com o OpenID Connect, você precisa configurar uma credencial de identidade federada em um aplicativo Do Microsoft Entra ou uma identidade gerenciada atribuída pelo usuário.

Opção 1: usar um aplicativo do Microsoft Entra

1. Crie um aplicativo do Microsoft Entra com uma entidade de serviço usando o portal do Azure, a CLI do Azure ou o Azure PowerShell.

2. Copie os valores para ID do cliente, ID da assinatura e ID do diretório (locatário) para usar posteriormente no seu fluxo de trabalho do GitHub Actions.

3. Atribua uma função apropriada à entidade de serviço usando o portal do Azure, a CLI do Azure ou o Azure PowerShell.

4. Configure uma credencial de identidade federada em um aplicativo do Microsoft Entra para confiar em tokens que o GitHub Actions emite para seu repositório GitHub.

Opção 2: usar uma identidade gerenciada atribuída pelo usuário

1. Criar uma identidade gerenciada atribuída pelo usuário.

2. Copie os valores para ID do cliente, ID da assinatura e ID do diretório (locatário) para usar posteriormente no seu fluxo de trabalho do GitHub Actions.

3. Atribua uma função apropriada à sua identidade gerenciada atribuída pelo usuário.

4. Configure uma credencial de identidade federada em uma identidade gerenciada atribuída pelo usuário para confiar em tokens que o GitHub Actions emite para seu repositório GitHub.

Configurar o segredo do GitHub para autenticação

Perfil de publicação

Em GitHub, procure seu repositório. Selecione Configurações>Segurança>Segredos e variáveis>Ações>Novo segredo de repositório.

Para usar as credenciais de nível de aplicativo, cole o conteúdo do arquivo de perfil de publicação baixado no campo de valor do segredo. Nomeie o segredo como AZURE_WEBAPP_PUBLISH_PROFILE.

Ao configurar o fluxo de trabalho do GitHub, use o segredo AZURE_WEBAPP_PUBLISH_PROFILE na ação de implantação do Aplicativo Web do Azure. Por exemplo:

- uses: azure/webapps-deploy@v2
  with:
    publish-profile: ${{ secrets.AZURE_WEBAPP_PUBLISH_PROFILE }}

Entidade de serviço

Em GitHub, procure seu repositório. Selecione Configurações>Segurança>Segredos e variáveis>Ações>Novo segredo de repositório.

Para usar as credenciais de nível de usuário, cole toda a saída JSON do comando da CLI do Azure no campo de valor do segredo. Dê um nome ao segredo, como AZURE_CREDENTIALS.

Quando você configurar o arquivo de fluxo de trabalho mais tarde, use o segredo como o valor de entrada creds da ação de Login do Azure. Por exemplo:

- uses: azure/login@v2
  with:
    creds: ${{ secrets.AZURE_CREDENTIALS }}

OpenID Connect

Você precisa fornecer o ID do cliente, o ID do locatário e o ID da assinatura do aplicativo para a ação de entrada. Você pode fornecer esses valores diretamente no fluxo de trabalho ou armazená-los em segredos do GitHub e referenciá-los em seu fluxo de trabalho. É mais seguro salvar os valores como segredos do GitHub.

1. Abra o repositório do GitHub e vá para Configurações>Segurança>Segredos e variáveis>Ações>Novo segredo de repositório.

   Observação

   Para aumentar a segurança do fluxo de trabalho em repositórios públicos, use segredos do ambiente em vez de segredos do repositório. Se o ambiente exigir aprovação, um trabalho não poderá acessar segredos de ambiente até que um dos revisores necessários o aprove.

2. Crie segredos para AZURE_CLIENT_ID, AZURE_TENANT_ID e AZURE_SUBSCRIPTION_ID. Use esses valores de seu aplicativo do Active Directory para seus segredos do GitHub. Você pode encontrar os valores no portal do Azure pesquisando seu aplicativo do Active Directory.

   Segredo do GitHub	Aplicativo do Active Directory
   AZURE_CLIENT_ID	ID do aplicativo (do cliente)
   AZURE_TENANT_ID	ID do diretório ( do locatário)
   AZURE_SUBSCRIPTION_ID	ID da assinatura

3. Salve cada segredo selecionando Adicionar segredo.

Configurar segredos do GitHub para o registro

Defina os segredos a serem usados com a ação de logon do Docker. O exemplo neste artigo usa o Registro de Contêiner do Azure para o registro de contêiner.

1. Vá para o contêiner no portal do Azure ou no Docker e copie o nome de usuário e a senha. Você pode encontrar o nome de usuário e a senha do Registro de Contêiner do Azure no portal do Azure em Configurações>Chaves de acesso para o registro.

2. Defina um novo segredo para o nome de usuário do registro chamado REGISTRY_USERNAME.

3. Defina um novo segredo para a senha do registro chamada REGISTRY_PASSWORD.

Criar a imagem de contêiner

O exemplo a seguir mostra parte do fluxo de trabalho que cria uma imagem do Docker Node.js. Use o Logon do Docker para entrar em um registro de contêiner privado. Este exemplo usa o Registro de Contêiner do Azure, mas a mesma ação funciona para outros registros.

name: Linux Container Node Workflow

on: [push]

jobs:
  build:
    runs-on: ubuntu-latest

    steps:
    - uses: actions/checkout@v2
    - uses: azure/docker-login@v1
      with:
        login-server: mycontainer.azurecr.io
        username: ${{ secrets.REGISTRY_USERNAME }}
        password: ${{ secrets.REGISTRY_PASSWORD }}
    - run: |
        docker build . -t mycontainer.azurecr.io/myapp:${{ github.sha }}
        docker push mycontainer.azurecr.io/myapp:${{ github.sha }}     

Você também pode usar a entrada do Docker para entrar em vários registros de contêiner ao mesmo tempo. Este exemplo inclui dois novos segredos do GitHub para autenticação com docker.io. O exemplo pressupõe que há um Dockerfile no nível raiz do registro.

name: Linux Container Node Workflow

on: [push]

jobs:
  build:
    runs-on: ubuntu-latest

    steps:
    - uses: actions/checkout@v2
    - uses: azure/docker-login@v1
      with:
        login-server: mycontainer.azurecr.io
        username: ${{ secrets.REGISTRY_USERNAME }}
        password: ${{ secrets.REGISTRY_PASSWORD }}
    - uses: azure/docker-login@v1
      with:
        login-server: index.docker.io
        username: ${{ secrets.DOCKERIO_USERNAME }}
        password: ${{ secrets.DOCKERIO_PASSWORD }}
    - run: |
        docker build . -t mycontainer.azurecr.io/myapp:${{ github.sha }}
        docker push mycontainer.azurecr.io/myapp:${{ github.sha }}     

O exemplo a seguir mostra uma parte do fluxo de trabalho que cria uma imagem do Docker para Windows. Use o Logon do Docker para entrar em um registro de contêiner privado. Este exemplo usa o Registro de Contêiner do Azure, mas a mesma ação funciona para outros registros.

name: Windows Container Workflow
on: [push]
jobs:
  build:
    runs-on: windows-latest
    steps:
    - uses: actions/checkout@v2
    - uses: azure/docker-login@v1
      with:
        login-server: mycontainer.azurecr.io
        username: ${{ secrets.REGISTRY_USERNAME }}
        password: ${{ secrets.REGISTRY_PASSWORD }}
    - run: |
        docker build . -t mycontainer.azurecr.io/myapp:${{ github.sha }}
        docker push mycontainer.azurecr.io/myapp:${{ github.sha }}     

Você também pode usar a entrada do Docker para entrar em vários registros de contêiner ao mesmo tempo. Este exemplo inclui dois novos segredos do GitHub para autenticação com docker.io. O exemplo pressupõe que há um Dockerfile no nível raiz do registro.

name: Windows Container Workflow
on: [push]
jobs:
  build:
    runs-on: windows-latest
    steps:
    - uses: actions/checkout@v2
    - uses: azure/docker-login@v1
      with:
        login-server: mycontainer.azurecr.io
        username: ${{ secrets.REGISTRY_USERNAME }}
        password: ${{ secrets.REGISTRY_PASSWORD }}
    - uses: azure/docker-login@v1
      with:
        login-server: index.docker.io
        username: ${{ secrets.DOCKERIO_USERNAME }}
        password: ${{ secrets.DOCKERIO_PASSWORD }}
    - run: |
        docker build . -t mycontainer.azurecr.io/myapp:${{ github.sha }}
        docker push mycontainer.azurecr.io/myapp:${{ github.sha }}     

Implantar em um contêiner do Serviço de Aplicativo

Para implantar a imagem em um contêiner personalizado no Serviço de Aplicativo, use a ação azure/webapps-deploy@v2. Essa ação tem sete parâmetros:

Parâmetro	Explicação
app-name	(Obrigatório) Nome do aplicativo do Serviço de Aplicativo.
publish-profile	(Opcional) Usado com aplicativos Web (Windows e Linux) e contêineres de aplicativos Web (Linux). O suporte para cenário de múltiplos contêineres não está disponível. Publicar os conteúdos do arquivo de perfil \*.publishsettings com segredos do Web Deploy.
slot-name	(Opcional) Insira um slot existente que não seja o slot de produção.
package	(Opcional) Usado somente com aplicativos Web: caminho para pacote ou pasta. \*.zip, \*.war, \*.jar ou uma pasta para implantação.
images	(Obrigatório) Usado somente com contêineres de aplicativos web: especifique o nome totalmente qualificado da imagem do contêiner. Por exemplo, myregistry.azurecr.io/nginx:latest ou python:3.12.12-alpine/. Para um aplicativo de vários contêineres, vários nomes de imagem de contêiner podem ser fornecidos (separados por várias linhas).
configuration-file	(Opcional) Usado somente com contêineres de aplicativo Web: caminho do arquivo Docker Compose. Deve ser um caminho totalmente qualificado ou relativo ao diretório de trabalho padrão. Obrigatório para aplicativos de vários contêineres.
startup-command	(Opcional) Insira o comando de inicialização. Por exemplo: dotnet run ou dotnet filename.dll.

Perfil de publicação

name: Linux Container Node Workflow

on: [push]

jobs:
  build:
    runs-on: ubuntu-latest

    steps:
    - uses: actions/checkout@v2

    - uses: azure/docker-login@v1
      with:
        login-server: mycontainer.azurecr.io
        username: ${{ secrets.REGISTRY_USERNAME }}
        password: ${{ secrets.REGISTRY_PASSWORD }}

    - run: |
        docker build . -t mycontainer.azurecr.io/myapp:${{ github.sha }}
        docker push mycontainer.azurecr.io/myapp:${{ github.sha }}     

    - uses: azure/webapps-deploy@v2
      with:
        app-name: 'myapp'
        publish-profile: ${{ secrets.AZURE_WEBAPP_PUBLISH_PROFILE }}
        images: 'mycontainer.azurecr.io/myapp:${{ github.sha }}'

Entidade de serviço

on: [push]

name: Linux_Container_Node_Workflow

jobs:
  build-and-deploy:
    runs-on: ubuntu-latest
    steps:
    # Check out the repo
    - name: 'Checkout GitHub Action' 
      uses: actions/checkout@main

    - name: 'Sign in via Azure CLI'
      uses: azure/login@v2
      with:
        creds: ${{ secrets.AZURE_CREDENTIALS }}

    - uses: azure/docker-login@v1
      with:
        login-server: mycontainer.azurecr.io
        username: ${{ secrets.REGISTRY_USERNAME }}
        password: ${{ secrets.REGISTRY_PASSWORD }}
    - run: |
        docker build . -t mycontainer.azurecr.io/myapp:${{ github.sha }}
        docker push mycontainer.azurecr.io/myapp:${{ github.sha }}     

    - uses: azure/webapps-deploy@v2
      with:
        app-name: 'myapp'
        images: 'mycontainer.azurecr.io/myapp:${{ github.sha }}'

    - name: Azure logout
      run: |
        az logout

OpenID Connect

on: [push]
name: Linux_Container_Node_Workflow

permissions:
      id-token: write
      contents: read

jobs:
  build-and-deploy:
    runs-on: ubuntu-latest
    steps:
    # Check out the repo
    - name: 'Checkout GitHub Action' 
      uses: actions/checkout@main

    - name: 'Sign in via Azure CLI'
      uses: azure/login@v2
      with:
        client-id: ${{ secrets.AZURE_CLIENT_ID }}
        tenant-id: ${{ secrets.AZURE_TENANT_ID }}
        subscription-id: ${{ secrets.AZURE_SUBSCRIPTION_ID }}

    - uses: azure/docker-login@v1
      with:
        login-server: mycontainer.azurecr.io
        username: ${{ secrets.REGISTRY_USERNAME }}
        password: ${{ secrets.REGISTRY_PASSWORD }}
    - run: |
        docker build . -t mycontainer.azurecr.io/myapp:${{ github.sha }}
        docker push mycontainer.azurecr.io/myapp:${{ github.sha }}     

    - uses: azure/webapps-deploy@v2
      with:
        app-name: 'myapp'
        images: 'mycontainer.azurecr.io/myapp:${{ github.sha }}'

    - name: Azure logout
      run: |
        az logout

Perfil de publicação

name: Windows_Container_Workflow

on: [push]

jobs:
  build:
    runs-on: windows-latest

    steps:
    - uses: actions/checkout@v2

    - uses: azure/docker-login@v1
      with:
        login-server: mycontainer.azurecr.io
        username: ${{ secrets.REGISTRY_USERNAME }}
        password: ${{ secrets.REGISTRY_PASSWORD }}

    - run: |
        docker build . -t mycontainer.azurecr.io/myapp:${{ github.sha }}
        docker push mycontainer.azurecr.io/myapp:${{ github.sha }}     

    - uses: azure/webapps-deploy@v2
      with:
        app-name: 'myapp'
        publish-profile: ${{ secrets.AZURE_WEBAPP_PUBLISH_PROFILE }}
        images: 'mycontainer.azurecr.io/myapp:${{ github.sha }}'

Entidade de serviço

on: [push]

name: Windows_Container_Workflow

jobs:
  build-and-deploy:
    runs-on: windows-latest
    steps:
    # Check out the repo
    - name: 'Checkout GitHub Action' 
      uses: actions/checkout@main

    - name: 'Sign in via Azure CLI'
      uses: azure/login@v2
      with:
        creds: ${{ secrets.AZURE_CREDENTIALS }}

    - uses: azure/docker-login@v1
      with:
        login-server: mycontainer.azurecr.io
        username: ${{ secrets.REGISTRY_USERNAME }}
        password: ${{ secrets.REGISTRY_PASSWORD }}
    - run: |
        docker build . -t mycontainer.azurecr.io/myapp:${{ github.sha }}
        docker push mycontainer.azurecr.io/myapp:${{ github.sha }}     

    - uses: azure/webapps-deploy@v2
      with:
        app-name: 'myapp'
        images: 'mycontainer.azurecr.io/myapp:${{ github.sha }}'

    - name: Azure logout
      run: |
        az logout

OpenID Connect

on: [push]
name: Windows_Container_Workflow

permissions:
      id-token: write
      contents: read

jobs:
  build-and-deploy:
    runs-on: windows-latest
    steps:
    # Check out the repo
    - name: 'Checkout GitHub Action' 
      uses: actions/checkout@main

    - name: 'Sign in via Azure CLI'
      uses: azure/login@v2
      with:
        client-id: ${{ secrets.AZURE_CLIENT_ID }}
        tenant-id: ${{ secrets.AZURE_TENANT_ID }}
        subscription-id: ${{ secrets.AZURE_SUBSCRIPTION_ID }}

    - uses: azure/docker-login@v1
      with:
        login-server: mycontainer.azurecr.io
        username: ${{ secrets.REGISTRY_USERNAME }}
        password: ${{ secrets.REGISTRY_PASSWORD }}
    - run: |
        docker build . -t mycontainer.azurecr.io/myapp:${{ github.sha }}
        docker push mycontainer.azurecr.io/myapp:${{ github.sha }}     

    - uses: azure/webapps-deploy@v2
      with:
        app-name: 'myapp'
        images: 'mycontainer.azurecr.io/myapp:${{ github.sha }}'

    - name: Azure logout
      run: |
        az logout

---

Conteúdo relacionado

Você pode encontrar nosso conjunto de ações agrupadas em repositórios diferentes no GitHub. Cada repositório contém documentação e exemplos para ajudá-lo a usar o GitHub para CI/CD e implantar seus aplicativos no Azure.

• Fluxos de trabalho de ações a serem implantados no Azure
• Entrada do Azure
• Aplicativo Web do Azure
• Entrada/saída do Docker
• Eventos que disparam fluxos de trabalho
• Implantação do K8s
• Fluxos de trabalho iniciais