Så här distribuerar du en privat ARM-mall med SAS-token

När din Azure Resource Manager-mall (ARM-mall) finns i ett lagringskonto kan du begränsa åtkomsten till mallen för att undvika att exponera den offentligt. Du får åtkomst till en skyddad mall genom att skapa en SAS-token (signatur för delad åtkomst) för mallen och tillhandahålla den token under distributionen. Den här artikeln beskriver hur du använder Azure PowerShell eller Azure CLI för att distribuera en ARM-mall på ett säkert sätt med en SAS-token.

Du hittar information om hur du skyddar och hanterar åtkomst till dina privata ARM-mallar med anvisningar om hur du gör följande:

• Skapa ett lagringskonto med en skyddad container
• Ladda upp mall till lagringskonto
• Ange SAS-token under distributionen

Viktigt!

I stället för att skydda din privata mall med en SAS-token bör du överväga att använda mallspecifikationer. Med mallspecifikationer kan du dela dina mallar med andra användare i organisationen och hantera åtkomst till mallarna via Azure RBAC.

Skapa ett lagringskonto med en skyddad container

Följande skript skapar ett lagringskonto och en container med offentlig åtkomst inaktiverad för mallsäkerhet.

PowerShell

New-AzResourceGroup `
  -Name ExampleGroup `
  -Location "Central US"
New-AzStorageAccount `
  -ResourceGroupName ExampleGroup `
  -Name {your-unique-name} `
  -Type Standard_LRS `
  -Location "Central US"
Set-AzCurrentStorageAccount `
  -ResourceGroupName ExampleGroup `
  -Name {your-unique-name}
New-AzStorageContainer `
  -Name templates `
  -Permission Off

Azure CLI

az group create \
  --name "ExampleGroup" \
  --location "Central US"
az storage account create \
    --resource-group ExampleGroup \
    --location "Central US" \
    --sku Standard_LRS \
    --kind Storage \
    --name {your-unique-name}
connection=$(az storage account show-connection-string \
    --resource-group ExampleGroup \
    --name {your-unique-name} \
    --query connectionString)
az storage container create \
    --name templates \
    --public-access Off \
    --connection-string $connection

Ladda upp en privat mall till lagringskontot

Nu är du redo att ladda upp mallen till lagringskontot. Ange sökvägen till den mall som du vill använda.

PowerShell

Set-AzStorageBlobContent `
  -Container templates `
  -File c:\Templates\azuredeploy.json

Azure CLI

az storage blob upload \
    --container-name templates \
    --file azuredeploy.json \
    --name azuredeploy.json \
    --connection-string $connection

Ange SAS-token under distributionen

Om du vill distribuera en privat mall i ett lagringskonto genererar du en SAS-token och tar med den i mallens URI. Ange förfallotiden för att ge tillräckligt med tid för att slutföra distributionen.

Viktigt!

Bloben som innehåller den privata mallen är endast tillgänglig för kontoägaren. Men när du skapar en SAS-token för blobben är blobben tillgänglig för alla med den URI:n. Om en annan användare fångar upp URI:n kan användaren komma åt mallen. En SAS-token är ett bra sätt att begränsa åtkomsten till dina mallar, men du bör inte inkludera känsliga data som lösenord direkt i mallen.

PowerShell

# get the URI with the SAS token
$templateuri = New-AzStorageBlobSASToken `
  -Container templates `
  -Blob azuredeploy.json `
  -Permission r `
  -ExpiryTime (Get-Date).AddHours(2.0) -FullUri

# provide URI with SAS token during deployment
New-AzResourceGroupDeployment `
  -ResourceGroupName ExampleGroup `
  -TemplateUri $templateuri

Azure CLI

Följande exempel fungerar med Bash-miljön i Cloud Shell. Andra miljöer kan kräva olika syntax för att skapa förfallotiden för SAS-token.

expiretime=$(date -u -d '30 minutes' +%Y-%m-%dT%H:%MZ)
connection=$(az storage account show-connection-string \
    --resource-group ExampleGroup \
    --name {your-unique-name} \
    --query connectionString)
token=$(az storage blob generate-sas \
    --container-name templates \
    --name azuredeploy.json \
    --expiry $expiretime \
    --permissions r \
    --output tsv \
    --connection-string $connection)
url=$(az storage blob url \
    --container-name templates \
    --name azuredeploy.json \
    --output tsv \
    --connection-string $connection)
az deployment group create \
  --resource-group ExampleGroup \
  --template-uri $url?$token

Ett exempel på hur du använder en SAS-token med länkade mallar finns i Använda länkade mallar med Azure Resource Manager.

Nästa steg

• En introduktion till att distribuera mallar finns i Distribuera resurser med ARM-mallar och Azure PowerShell.
• Information om hur du definierar parametrar i mallen finns i Redigera mallar.