你当前正在访问 Microsoft Azure Global Edition 技术文档网站。 如果需要访问由世纪互联运营的 Microsoft Azure 中国技术文档网站，请访问 https://docs.azure.cn。

在 Azure 容器应用中管理机密

凭借 Azure 容器应用，应用程序可以安全地存储敏感配置值。 在应用程序级别定义机密后，安全值可用于容器应用中的修订版。 此外，可以在缩放规则中引用安全值。 有关通过 Dapr 使用机密的信息，请参阅 Dapr 集成。

• 机密的范围仅限于某一应用程序，在应用程序的任何特定修订之外。
• 添加、删除或更改机密不会生成新修订。
• 每种应用程序修订都可以引用一个或多个机密。
• 多种修订可以引用相同机密。

已更新或删除的机密不会自动影响应用中的现有修订。 如果更新或删除了机密，可以通过以下两种方式之一对更改进行响应：

1. 部署新修订。
2. 重启现有修订。

删除机密之前，请部署不再引用旧密码的新修订。 然后停用引用机密的所有修订。

定义机密

机密定义为一组名称/值对。 每个机密的值是直接指定的，或指定为对 Azure 密钥保管库中存储的机密的引用。

在容器应用中存储机密值

当你通过门户或不同的命令行选项定义机密时。

Azure 门户

1. 在 Azure 门户中转到你的容器应用。

2. 在“设置”部分下，选择“机密”。

3. 选择 添加 。

4. 在“添加机密”上下文窗格中输入以下信息：

   • 名称：机密的名称。
   • 类型：选择“容器应用机密”。
   • 值：机密的值。

5. 选择“添加” 。

ARM 模板

机密在应用程序级在 resources.properties.configuration.secrets 部分中定义。

"resources": [
{
    ...
    "properties": {
        "configuration": {
            "secrets": [
            {
                "name": "queue-connection-string",
                "value": "<MY-CONNECTION-STRING-VALUE>"
            }],
        }
    }
}

此处，secrets 数组中声明了到队列存储帐户的连接字符串。 此示例中，请将 <MY-CONNECTION-STRING-VALUE> 替换为连接字符串的值。

Azure CLI

创建容器应用时，将使用 --secrets 参数来定义机密。

• 参数接受以空格分隔的名称/值对的集合。
• 每个对都由等于号 (=) 分隔。

az containerapp create \
  --resource-group "my-resource-group" \
  --name queuereader \
  --environment "my-environment-name" \
  --image demos/queuereader:v1 \
  --secrets "queue-connection-string=<CONNECTION_STRING>"

此处，--secrets 参数中声明了到队列存储帐户的连接字符串。 请将 <CONNECTION_STRING> 替换为你的连接字符串值。

PowerShell

创建容器应用时，机密定义为通过 ConfigurationSecrets 参数传递的一个或多个 Secret 对象。

$EnvId = (Get-AzContainerAppManagedEnv -ResourceGroupName my-resource-group -EnvName my-environment-name).Id
$TemplateObj = New-AzContainerAppTemplateObject -Name queuereader -Image demos/queuereader:v1
$SecretObj = New-AzContainerAppSecretObject -Name queue-connection-string -Value $QueueConnectionString

$ContainerAppArgs = @{
    Name = 'my-resource-group'
    Location = '<location>'
    ResourceGroupName = 'my-resource-group'
    ManagedEnvironmentId = $EnvId
    TemplateContainer = $TemplateObj
    ConfigurationSecret = $SecretObj
}

New-AzContainerApp @ContainerAppArgs

此处声明了一个到队列存储帐户的连接字符串。 queue-connection-string 的值来自名为 $QueueConnectionString 的环境变量。

引用密钥保管库中的机密

定义机密时，会创建对 Azure 密钥保管库中存储的机密的引用。 容器应用自动从密钥保管库检索机密值，并使其可用作容器应用中的机密。

若要引用密钥保管库中的机密，必须先在容器应用中启用托管标识，并为该标识授予对密钥保管库机密的访问权限。

若要在容器应用中启用托管标识，请参阅托管标识。

若要授予对密钥保管库机密的访问权限，请在密钥保管库中为创建的托管标识创建访问策略。 在此策略上启用“获取”机密权限。

Azure 门户

1. 在 Azure 门户中转到你的容器应用。

2. 在“设置”部分下，选择“标识”。

3. 在“系统分配”选项卡中选择“打开”。

4. 选择“保存”以启用系统分配的托管标识。

5. 在“设置”部分下，选择“机密”。

6. 选择 添加 。

7. 在“添加机密”上下文窗格中输入以下信息：

   • 名称：机密的名称。
   • 类型：选择“密钥保管库引用”。
   • 密钥保管库机密 URL：密钥保管库中机密的 URI。
   • 标识：用于从密钥保管库检索机密的标识。

8. 选择 添加 。

ARM 模板

机密在应用程序级在 resources.properties.configuration.secrets 部分中定义。

"resources": [
{
    ...
    "properties": {
        "configuration": {
            "secrets": [
            {
                "name": "queue-connection-string",
                "keyVaultUrl": "<KEY-VAULT-SECRET-URI>",
                "identity": "system"
            }],
        }
    }
}

此处，secrets 数组中声明了到队列存储帐户的连接字符串。 其值是使用指定的标识自动从密钥保管库检索的。 若要使用用户托管标识，请将 system 替换为该标识的资源 ID。

将 <KEY-VAULT-SECRET-URI> 替换为密钥保管库中的机密的 URI。

Azure CLI

创建容器应用时，将使用 --secrets 参数来定义机密。

• 参数接受以空格分隔的名称/值对的集合。
• 每个对都由等于号 (=) 分隔。
• 若要指定密钥保管库引用，请使用 <SECRET_NAME>=keyvaultref:<KEY_VAULT_SECRET_URI>,identityref:<MANAGED_IDENTITY_ID> 格式。 例如，queue-connection-string=keyvaultref:https://mykeyvault.vault.azure.net/secrets/queuereader,identityref:/subscriptions/ffffffff-eeee-dddd-cccc-bbbbbbbbbbb0/resourcegroups/my-resource-group/providers/Microsoft.ManagedIdentity/userAssignedIdentities/my-identity。

az containerapp create \
  --resource-group "my-resource-group" \
  --name queuereader \
  --environment "my-environment-name" \
  --image demos/queuereader:v1 \
  --user-assigned "<USER_ASSIGNED_IDENTITY_ID>" \
  --secrets "queue-connection-string=keyvaultref:<KEY_VAULT_SECRET_URI>,identityref:<USER_ASSIGNED_IDENTITY_ID>"

此处，--secrets 参数中声明了到队列存储帐户的连接字符串。 将 <KEY_VAULT_SECRET_URI> 替换为密钥保管库中的机密的 URI。 将 <USER_ASSIGNED_IDENTITY_ID> 替换为用户分配的标识的资源 ID。 对于系统分配的标识，请使用 system 而不是资源 ID。

注意

用户分配的标识必须有权读取密钥保管库中的机密。 系统分配的标识不能与 create 命令一起使用，因为它只有在创建容器应用之后才可用。

PowerShell

PowerShell 不支持机密密钥保管库引用。

注意

如果将 UDR 与 Azure 防火墙配合使用，则需要将 AzureKeyVault 服务标记和 login.microsoft.com FQDN 添加到防火墙的允许列表中。 请参阅使用 Azure 防火墙配置 UDR，确定所需的其他服务标记。

密钥保管库机密 URI 和机密轮换

密钥保管库机密 URI 必须采用以下格式之一：

• https://myvault.vault.azure.net/secrets/mysecret/ec96f02080254f109c51a1f14cdb1931：引用特定版本的机密。
• https://myvault.vault.azure.net/secrets/mysecret：引用最新版本的机密。

如果 URI 中未指定版本，则应用将使用密钥保管库中存在的最新版本。 有更新的版本可用时，应用会在 30 分钟内自动检索最新版本。 在环境变量中引用机密的任何活动修订版都会自动重启，以选取新值。

若要完全控制使用哪个机密版本，请在 URI 中指定版本。

在环境变量中引用机密

如定义机密部分中所述，在应用程序级别声明机密后，可以在容器应用中创建新修订时在环境变量中引用这些机密。 当环境变量引用机密时，将使用机密中定义的值进行填充。

示例

下面的示例显示了一个应用程序，该应用程序在应用程序级声明连接字符串。 此连接在容器环境变量和缩放规则中引用。

Azure 门户

在容器应用中定义机密后，可以在创建新修订版时在环境变量中引用该机密。

1. 在 Azure 门户中转到你的容器应用。

2. 打开“修订版管理”页。

3. 选择“创建新修订版”。

4. 在“创建和部署新修订版”页中选择一个容器。

5. 在“环境变量”部分选择“添加”。

6. 输入以下信息：

   • 名称：环境变量的名称。
   • 源：选择“引用机密”。
   • 值：选择要引用的机密。

7. 选择“保存”。

8. 选择“创建”以创建新修订版。

ARM 模板

在此示例中，应用程序连接字符串声明为 queue-connection-string，并在配置部分的其他地方可用。

{
    "$schema": "https://schema.management.azure.com/schemas/2019-08-01/deploymentTemplate.json#",
    "contentVersion": "1.0.0.0",
    "parameters": {
        "location": {
            "type": "String"
        },
        "environment_id": {
            "type": "String"
        },
        "queue-connection-string": {
            "type": "String"
        }
    },
    "variables": {},
    "resources": [
    {
        "name": "queuereader",
        "type": "Microsoft.App/containerApps",
        "apiVersion": "2022-03-01",
        "kind": "containerapp",
        "location": "[parameters('location')]",
        "properties": {
            "managedEnvironmentId": "[parameters('environment_id')]",
            "configuration": {
                "activeRevisionsMode": "single",
                "secrets": [
                {
                    "name": "queue-connection-string",
                    "value": "[parameters('queue-connection-string')]"
                }]
            },
            "template": {
                "containers": [
                    {
                        "image": "myregistry/myQueueApp:v1",
                        "name": "myQueueApp",
                        "env": [
                            {
                                "name": "QueueName",
                                "value": "myqueue"
                            },
                            {
                                "name": "ConnectionString",
                                "secretRef": "queue-connection-string"
                            }
                        ]
                    }
                ],
                "scale": {
                    "minReplicas": 0,
                    "maxReplicas": 10,
                    "rules": [
                        {
                            "name": "myqueuerule",
                            "azureQueue": {
                                "queueName": "demoqueue",
                                "queueLength": 100,
                                "auth": [
                                    {
                                        "secretRef": "queue-connection-string",
                                        "triggerParameter": "connection"
                                    }
                                ]
                            }
                        }
                    ]
                }
            }
        }
    }]
}

此处，名为 connection-string 的环境变量从应用程序级 queue-connection-string 机密获取其值。 此外，Azure 队列存储缩放规则的身份验证配置使用 queue-connection-string 机密来定义其连接。

为避免通过 ARM 模板将机密值提交到源代码管理，请将机密值作为 ARM 模板参数传递。

Azure CLI

在此示例中，你会通过 Azure CLI 使用在环境变量中引用的机密创建容器应用。 若要通过 Azure CLI 在环境变量中引用机密，请将其值设置为 secretref:，后跟机密的名称。

az containerapp create \
  --resource-group "my-resource-group" \
  --name myQueueApp \
  --environment "my-environment-name" \
  --image demos/myQueueApp:v1 \
  --secrets "queue-connection-string=$CONNECTIONSTRING" \
  --env-vars "QueueName=myqueue" "ConnectionString=secretref:queue-connection-string"

此处，名为 connection-string 的环境变量从应用程序级 queue-connection-string 机密获取其值。

PowerShell

在此示例中，我们通过 Azure PowerShell 使用在环境变量中引用的机密来创建容器。 若要通过 PowerShell 在环境变量中引用机密，请将其值设置为 secretref:，后跟机密的名称。

$EnvId = (Get-AzContainerAppManagedEnv -ResourceGroupName my-resource-group -EnvName my-environment-name).Id

$SecretObj = New-AzContainerAppSecretObject -Name queue-connection-string -Value $QueueConnectionString
$EnvVarObjQueue = New-AzContainerAppEnvironmentVarObject -Name QueueName -Value myqueue
$EnvVarObjConn = New-AzContainerAppEnvironmentVarObject -Name ConnectionString -SecretRef queue-connection-string -Value secretref
$TemplateObj = New-AzContainerAppTemplateObject -Name myQueueApp -Image demos/myQueueApp:v1 -Env $EnvVarObjQueue, $EnvVarObjConn

$ContainerAppArgs = @{
    Name = 'myQueueApp'
    Location = '<location>'
    ResourceGroupName = 'my-resource-group'
    ManagedEnvironmentId = $EnvId
    TemplateContainer = $TemplateObj
    ConfigurationSecret = $SecretObj
}

New-AzContainerApp @ContainerAppArgs

此处，名为 ConnectionString 的环境变量从应用程序级 $QueueConnectionString 机密获取其值。

在卷中装载机密

如定义机密部分中所述，在应用程序级别声明机密后，可以在容器应用中创建新修订版时在卷装载中引用这些机密。 在卷中装载机密时，每个机密都将作为文件装载到卷中。 文件名是机密的名称，文件内容则是机密的值。 在卷装载中可以加载所有机密，也可以加载特定机密。

示例

Azure 门户

在容器应用中定义机密后，可以在创建新修订版时在卷装载中引用该机密。

1. 在 Azure 门户中转到你的容器应用。

2. 打开“修订版管理”页。

3. 选择“创建新修订版”。

4. 在“创建和部署新修订版”页面。

5. 选择一个容器并选择“编辑”。

6. 在“卷装载”部分中，展开“机密”部分。

7. 选择“创建新卷”。

8. 输入以下信息：

   • 名称：mysecrets
   • 装载所有机密：已启用

   注意

   如果要加载特定机密，请禁用“装载所有机密”，然后选择要加载的机密。

9. 选择添加。

10. 在“卷名称”下，选择“mysecrets”。

11. 在“装载路径”下，输入“/mnt/secrets”。

12. 选择“保存”。

13. 选择“创建”以创建具有卷装载的新修订版。

ARM 模板

在此示例中，在应用程序级别声明了两个机密。 这些机密装载在类型为 Secret 的卷 mysecrets 中。 卷装载在路径 /mnt/secrets 处。 然后，应用程序可以引用卷装载中的机密。

{
    "$schema": "https://schema.management.azure.com/schemas/2019-08-01/deploymentTemplate.json#",
    "contentVersion": "1.0.0.0",
    "parameters": {
        "location": {
            "type": "String"
        },
        "environment_id": {
            "type": "String"
        },
        "queue-connection-string": {
            "type": "Securestring"
        },
        "api-key": {
            "type": "Securestring"
        }
    },
    "variables": {},
    "resources": [
    {
        "name": "queuereader",
        "type": "Microsoft.App/containerApps",
        "apiVersion": "2022-11-01-preview",
        "kind": "containerapp",
        "location": "[parameters('location')]",
        "properties": {
            "managedEnvironmentId": "[parameters('environment_id')]",
            "configuration": {
                "activeRevisionsMode": "single",
                "secrets": [
                    {
                        "name": "queue-connection-string",
                        "value": "[parameters('queue-connection-string')]"
                    },
                    {
                        "name": "api-key",
                        "value": "[parameters('api-key')]"
                    }
                ]
            },
            "template": {
                "containers": [
                    {
                        "image": "myregistry/myQueueApp:v1",
                        "name": "myQueueApp",
                        "volumeMounts": [
                            {
                                "name": "mysecrets",
                                "mountPath": "/mnt/secrets"
                            }
                        ]
                    }
                ],
                "volumes": [
                    {
                        "name": "mysecrets",
                        "storageType": "Secret"
                    }
                ]
            }
        }
    }]
}

若要加载特定机密并指定它们在装载的卷中的路径，请在卷对象的 secrets 数组中定义机密。 以下示例演示如何在 mysecrets 卷装载中仅加载文件名为 connection-string.txt 的 queue-connection-string 机密。

{
    "properties": {
        ...
        "configuration": {
            ...
            "secrets": [
                {
                    "name": "queue-connection-string",
                    "value": "[parameters('queue-connection-string')]"
                },
                {
                    "name": "api-key",
                    "value": "[parameters('api-key')]"
                }
            ]
        },
        "template": {
            "containers": [
                {
                    "image": "myregistry/myQueueApp:v1",
                    "name": "myQueueApp",
                    "volumeMounts": [
                        {
                            "name": "mysecrets",
                            "mountPath": "/mnt/secrets"
                        }
                    ]
                }
            ],
            "volumes": [
                {
                    "name": "mysecrets",
                    "storageType": "Secret",
                    "secrets": [
                        {
                            "secretRef": "queue-connection-string",
                            "path": "connection-string.txt"
                        }
                    ]
                }
            ]
        }
        ...
    }
    ...
}

在应用中，可以从位于 /mnt/secrets/connection-string.txt 的文件中读取机密。

Azure CLI

在此示例中，在应用程序级别声明了两个机密。 这些机密装载在类型为 Secret 的卷 mysecrets 中。 卷装载在路径 /mnt/secrets 处。 然后，应用程序可以将机密作为卷装载中的文件读取。

az containerapp create \
  --resource-group "my-resource-group" \
  --name myQueueApp \
  --environment "my-environment-name" \
  --image demos/myQueueApp:v1 \
  --secrets "queue-connection-string=$CONNECTIONSTRING" "api-key=$API_KEY" \
  --secret-volume-mount "/mnt/secrets"

若要加载特定机密并指定它们在装载的卷中的路径，请使用 YAML 定义应用。

PowerShell

PowerShell 不支持将机密装载为卷。

后续步骤

容器