Hantera hemligheter för Azure Functions på Azure Container Apps

När du kör Azure Functions på Azure Container Apps arbetar du med två kategorier av hemligheter:

Category Beskrivning Förbrukas av
Hemligheter på appnivå Konfigurationsvärden som din funktionskod läser vid körning, såsom databasanslutningssträngar, API-nycklar och behörigheter för utlösar-/bindningar. Din kod och Functions-körningsbindningar.
Funktionsåtkomstnycklar Autentiseringstoken (åtkomstnycklar) som skyddar HTTP-utlösta funktionsslutpunkter, inklusive huvud-, värd-, funktions- och systemnycklar. Externa anropare av dina HTTP-funktioner (tjänster, webhooks, utvecklare).

Dessa två kategorier skiljer sig åt i riktning:

Hemligheter på appnivå Funktionsåtkomstnycklar
Riktning Utgående – din funktion autentiserar mot andra tjänster Inkommande – anropare autentiserar till din funktion
Vem som har hemligheten Din funktionsapp Anroparen (webhook-provider, tjänst, utvecklare)
Vad det skyddar Vad din funktion ansluter till Vem kan anropa HTTP-slutpunkten
Verifierad av Måltjänsten Funktionernas runtime

Hemligheter på appnivå

Hemligheter på appnivå är de autentiseringsuppgifter som din funktionskod och bindningar behöver för att ansluta till externa tjänster. Du kan lagra dem på två sätt:

Option Passar bäst för Rotation Granskning Guide
Container Apps-hemligheter Dev/test, enkla enkeltapp arbetsflöden Handbok Endast aktivitetsloggar Lagra hemligheter på appnivå
Key Vault referenser Produktion, flera appar, efterlevnad Automatisk (versionslös URI) Fullständig diagnostikverktyg för Key Vault Lagra hemligheter på appnivå

Tips/Råd

Börja med Container Apps-hemligheter för enkelhetens skull. Flytta till referenser i Key Vault när du behöver centraliserad hantering, automatisk rotation eller efterlevnadsgranskning.

Funktionsåtkomstnycklar

Åtkomstnycklar ger enkel autentisering med delad hemlighet för HTTP-slutpunkter. Använd åtkomstnycklar när anropare inte kan presentera Microsoft Entra ID token, till exempel webhooks från tredje part, tjänst-till-tjänst-anrop eller under utveckling.

AzureWebJobsSecretStorageType Ange miljövariabeln för att välja en lagringsserverdel:

Backend Inställningsvärde Passar bäst för Guide
Container Apps hemlighetsarkiv containerapps De flesta arbetsbelastningar – inga externa beroenden (rekommenderas) Konfigurera värdnycklar
Azure Key Vault keyvault Centraliserad styrning, efterlevnadsgranskning Konfigurera värdnycklar
Azure Blob Storage blob Äldre appar eller befintligt AzureWebJobsStorage beroende Konfigurera värdnycklar
Lokalt filsystem files Rekommenderas inte i Container Apps – se varning N/A

Ha dessa backend-överväganden i åtanke:

  • Körningen väljer inte automatiskt Container Apps secret storage. Om du inte sätter AzureWebJobsSecretStorageType eller sätter det till ett icke-igenkänt värde, använder Functions-värden Blob Storage när AzureWebJobsStorage det är tillgängligt.
  • Håll AzureWebJobsStorage konfigurerad för lagringshälsokontroller och lagringsberoende funktioner.
  • Ställ inte in AzureWebJobsSecretStorageType till files. Container Apps-filsystemet är flyktigt, så nycklar som lagras i denna backend går förlorade när appen skalar till noll, startar om eller distribuerar en ny version.

Nästa steg

Välj den guide som matchar den typ av hemlighet som du behöver hantera:

Relaterat innehåll

  • Last updated on