使用受控識別將 Azure Spring Apps 連線到金鑰保存庫

發行項
2024/11/20

注意

基本、標準和企業方案將從 2025 年 3 月中旬開始淘汰，並停用 3 年。建議您轉換至 Azure Container Apps。如需詳細資訊，請參閱 Azure Spring Apps 淘汰公告。

標準 耗用量和專用 方案將從 2024 年 9 月 30 日起淘汰，並在六個月後完成關閉。建議您轉換至 Azure Container Apps。如需詳細資訊，請參閱將 Azure Spring Apps 標準取用和專用方案遷移至 Azure Container Apps。

本文適用於：✅ Java ❎ C#

本文說明如何為部署至 Azure Spring Apps 的應用程式建立系統指派或使用者指派的受控識別，並用它來存取 Azure 金鑰保存庫。

Azure 金鑰保存庫可用來安全地儲存及嚴格控制應用程式令牌、密碼、憑證、API 金鑰和其他秘密的存取。您可以在 Microsoft Entra 識別符中建立受控識別，並向任何支援 Microsoft Entra 驗證的服務進行驗證，包括金鑰保存庫，而不必在程式代碼中顯示認證。

下列影片說明如何使用 Azure 金鑰保存庫管理秘密。

必要條件

Azure 訂用帳戶。如果您沒有訂用帳戶，請先建立免費帳戶，再開始操作。
如果您是第一次在目標訂用帳戶中部署 Azure Spring 應用程式企業方案執行個體，請參閱 Azure Marketplace 的企業方案中的需求一節。
Azure CLI 2.55.0 版或更高版本。

Azure 訂用帳戶。如果您沒有訂用帳戶，請先建立免費帳戶，再開始操作。
Azure CLI 2.55.0 版或更高版本。

提供每個資源的名稱

使用下列命令建立變數來保存資源名稱。請務必將預留位置取代為您自己的值。

系統指派的受控識別
使用者指派的受控識別

Azure CLI

export LOCATION=<location>
export RESOURCE_GROUP=myresourcegroup
export SPRING_APPS=myasa
export APP=springapp-system
export KEY_VAULT=<your-keyvault-name>

Azure CLI

export LOCATION=<location>
export RESOURCE_GROUP=myresourcegroup
export SPRING_APPS=myasa
export APP=springapp-user
export KEY_VAULT=<your-keyvault-name>
export USER_ASSIGNED_IDENTITY=<user-assigned-identity-name>

建立資源群組

資源群組是在其中部署與管理 Azure 資源的邏輯容器。使用 az group create 命令建立資源群組以包含金鑰保存庫和 Spring Cloud，如下列範例所示：

Azure CLI

az group create --name ${RESOURCE_GROUP} --location ${LOCATION}

設定您的金鑰保存庫

若要建立金鑰保存庫，請使用 az keyvault create 命令，如下列範例所示：

重要

每個金鑰保存庫必須有唯一的名稱。

Azure CLI

az keyvault create \
    --resource-group ${RESOURCE_GROUP} \
    --name ${KEY_VAULT}

使用下列命令來顯示應用程式 URL，然後記下傳回的 URL，格式 https://${KEY_VAULT}.vault.azure.net為。在下列步驟中使用此值。

Azure CLI

az keyvault show \
    --resource-group ${RESOURCE_GROUP} \
    --name ${KEY_VAULT} \
    --query properties.vaultUri --output tsv

您現在可以使用 az keyvault secret set 命令，將秘密放在金鑰保存庫中，如下列範例所示：

Azure CLI

az keyvault secret set \
    --vault-name ${KEY_VAULT} \
    --name "connectionString" \
    --value "jdbc:sqlserver://SERVER.database.windows.net:1433;database=DATABASE;"

建立 Azure Spring Apps 服務和應用程式

安裝所有對應的擴充功能之後，請使用下列命令來建立 Azure Spring Apps 實例：

Azure CLI

az extension add --upgrade --name spring
az spring create \
    --resource-group ${RESOURCE_GROUP} \
    --sku Enterprise \
    --name ${SPRING_APPS}

系統指派的受控識別
使用者指派的受控識別

下列範例會依照參數的要求 --system-assigned ，使用系統指派的受控識別來建立應用程式：

Azure CLI

az spring app create \
    --resource-group ${RESOURCE_GROUP} \
    --service ${SPRING_APPS} \
    --name ${APP} \
    --assign-endpoint true \
    --system-assigned
export MANAGED_IDENTITY_PRINCIPAL_ID=$(az spring app show \
    --resource-group ${RESOURCE_GROUP} \
    --service ${SPRING_APPS} \
    --name ${APP} \
    --query identity.principalId --output tsv)

使用下列命令來建立使用者指派的受控識別：

Azure CLI

az identity create --resource-group ${RESOURCE_GROUP} --name ${USER_ASSIGNED_IDENTITY}
export MANAGED_IDENTITY_PRINCIPAL_ID=$(az identity show \
    --resource-group ${RESOURCE_GROUP} \
    --name ${USER_ASSIGNED_IDENTITY} \
    --query principalId --output tsv)
export USER_IDENTITY_RESOURCE_ID=$(az identity show \
    --resource-group ${RESOURCE_GROUP} \
    --name ${USER_ASSIGNED_IDENTITY} \
    --query id --output tsv)

下列命令會使用使用者指派的受控識別來建立應用程式，如參數所要求 --user-assigned ：

Azure CLI

az spring app create \
    --resource-group ${RESOURCE_GROUP} \
    --service ${SPRING_APPS} \
    --name ${APP} \
    --user-assigned $USER_IDENTITY_RESOURCE_ID \
    --assign-endpoint true

Azure CLI

az extension add --upgrade --name spring
az spring create \
    --resource-group ${RESOURCE_GROUP} \
    --name ${SPRING_APPS}

系統指派的受控識別
使用者指派的受控識別

下列範例會依照參數的要求--system-assigned，使用系統指派的受控識別來建立名為 springapp 的應用程式。

Azure CLI

az spring app create \
    --resource-group ${RESOURCE_GROUP} \
    --service ${SPRING_APPS} \
    --name ${APP} \
    --assign-endpoint true \
    --runtime-version Java_17 \
    --system-assigned
export MANAGED_IDENTITY_PRINCIPAL_ID=$(az spring app show \
    --resource-group ${RESOURCE_GROUP} \
    --service ${SPRING_APPS} \
    --name ${APP} \
    --query identity.principalId --output tsv)

使用下列命令來建立使用者指派的受控識別：

Azure CLI

az identity create --resource-group ${RESOURCE_GROUP} --name ${USER_ASSIGNED_IDENTITY}
export MANAGED_IDENTITY_PRINCIPAL_ID=$(az identity show \
    --resource-group ${RESOURCE_GROUP} \
    --name ${USER_ASSIGNED_IDENTITY} \
    --query principalId --output tsv)
export USER_IDENTITY_RESOURCE_ID=$(az identity show \
    --resource-group ${RESOURCE_GROUP} \
    --name ${USER_ASSIGNED_IDENTITY} \
    --query id --output tsv)

下列命令會依照參數的要求 --user-assigned ，使用使用者指派的受控識別來建立應用程式。

Azure CLI

az spring app create \
    --resource-group ${RESOURCE_GROUP} \
    --service ${SPRING_APPS} \
    --name ${APP} \
    --user-assigned $USER_IDENTITY_RESOURCE_ID \
    --runtime-version Java_17 \
    --assign-endpoint true

將您的應用程式存取權授與 Key Vault

使用下列命令，為您的應用程式授與金鑰保存庫中的適當存取權：

Azure CLI

az keyvault set-policy \
    --name ${KEY_VAULT} \
    --object-id ${MANAGED_IDENTITY_PRINCIPAL_ID} \
    --secret-permissions set get list

注意

針對系統指派的受控識別，請在系統指派的受控識別停用之後，使用 az keyvault delete-policy --name ${KEY_VAULT} --object-id ${MANAGED_IDENTITY_PRINCIPAL_ID} 移除應用程式的存取權。

使用 Spring Boot 入門版建置範例 Spring Boot 應用程式

此應用程式具有從 Azure 金鑰保存庫取得秘密的存取權。使用 Azure 金鑰保存庫 Secrets Spring boot starter。 Azure 金鑰保存庫會新增為 Spring PropertySource 的實例。儲存在 Azure 金鑰保存庫中的秘密可以方便存取並使用，就像任何外部化組態屬性一樣，例如檔案中的屬性。

使用下列命令從 Azure 金鑰保存庫 Spring Starter 產生範例專案start.spring.io。

Bash

curl https://start.spring.io/starter.tgz -d dependencies=web,azure-keyvault -d baseDir=springapp -d bootVersion=3.2.1 -d javaVersion=17 -d type=maven-project | tar -xzvf -

在應用程式中指定您的金鑰保存庫。

Bash

cd springapp
vim src/main/resources/application.properties

若要針對部署至 Azure Spring Apps 的應用程式使用受控識別，請將具有下列內容的屬性新增至 src/main/resources/application.properties 檔案。

系統指派的受控識別
使用者指派的受控識別

properties

spring.cloud.azure.keyvault.secret.property-sources[0].endpoint=<your-keyvault-url>
spring.cloud.azure.keyvault.secret.property-sources[0].credential.managed-identity-enabled=true

使用下列命令來查詢使用者指派受控識別的用戶端識別碼：

Azure CLI

az identity show \
    --resource-group ${RESOURCE_GROUP} \
    --name ${USER_ASSIGNED_IDENTITY} \
    --query clientId --output tsv

properties

spring.cloud.azure.keyvault.secret.property-sources[0].endpoint=<your-keyvault-url>
spring.cloud.azure.keyvault.secret.property-sources[0].credential.managed-identity-enabled=true
spring.cloud.azure.keyvault.secret.property-sources[0].credential.client-id=<client-ID-of-user-assigned-managed-identity>

注意

您必須在 application.properties 檔案中新增金鑰保存庫 URL，如先前所示。否則，可能無法在運行時間期間擷取金鑰保存庫 URL。

使用下列程式代碼範例更新 src/main/java/com/example/demo/DemoApplication.java 。此程式代碼會從金鑰保存庫擷取連接字串。

Java

package com.example.demo;

import org.springframework.boot.SpringApplication;
import org.springframework.boot.autoconfigure.SpringBootApplication;
import org.springframework.beans.factory.annotation.Value;
import org.springframework.boot.CommandLineRunner;
import org.springframework.web.bind.annotation.GetMapping;
import org.springframework.web.bind.annotation.RestController;

@SpringBootApplication
@RestController
public class DemoApplication implements CommandLineRunner {

    @Value("${connectionString}")
    private String connectionString;

    public static void main(String[] args) {
        SpringApplication.run(DemoApplication.class, args);
    }

    @GetMapping("get")
    public String get() {
        return connectionString;
    }

    public void run(String... args) throws Exception {
        System.out.println(String.format("\nConnection String stored in Azure Key Vault:\n%s\n",connectionString));
    }
}

如果您開啟 pom.xml 檔案，您可以看到 spring-cloud-azure-starter-keyvault 相依性，如下列範例所示：

XML

<dependency>
    <groupId>com.azure.spring</groupId>
    <artifactId>spring-cloud-azure-starter-keyvault</artifactId>
</dependency>

使用下列命令將您的應用程式部署至 Azure Spring Apps：

Azure CLI

az spring app deploy \
    --resource-group ${RESOURCE_GROUP} \
    --service ${SPRING_APPS} \
    --name ${APP} \
    --source-path

使用下列命令將您的應用程式部署至 Azure Spring Apps：

Azure CLI

az spring app deploy \
    --resource-group ${RESOURCE_GROUP} \
    --service ${SPRING_APPS} \
    --name ${APP} \
    --source-path \
    --build-env BP_JVM_VERSION=17

若要測試您的應用程式，請使用下列命令存取公用端點或測試端點：

Bash
```
curl https://${SPRING_APPS}-${APP}.azuremicroservices.io/get
```
回應本文中會傳回下列訊息： jdbc:sqlserver://SERVER.database.windows.net:1433;database=DATABASE;。

清除資源

使用下列命令來刪除整個資源群組，包括新建立的服務實例：

Azure CLI

az group delete --name ${RESOURCE_GROUP} --yes

共用方式為

使用受控識別將 Azure Spring Apps 連線到金鑰保存庫

必要條件

提供每個資源的名稱

建立資源群組

設定您的金鑰保存庫

建立 Azure Spring Apps 服務和應用程式

將您的應用程式存取權授與 Key Vault

使用 Spring Boot 入門版建置範例 Spring Boot 應用程式

清除資源

下一步

意見反應

其他資源

共用方式為

使用受控識別將 Azure Spring Apps 連線到 金鑰保存庫

必要條件

提供每個資源的名稱

建立資源群組

設定您的 金鑰保存庫

建立 Azure Spring Apps 服務和應用程式

將您的應用程式存取權授與 Key Vault

使用 Spring Boot 入門版建置範例 Spring Boot 應用程式

清除資源

下一步

意見反應

其他資源

使用受控識別將 Azure Spring Apps 連線到金鑰保存庫

設定您的金鑰保存庫